BM Content Builder <= 3.16.2.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin BM Content Builder, que permite a usuarios autenticados con rol de suscriptor o superior realizar actualizaciones arbitrarias de opciones. Esta falla afecta a las versiones hasta la 3.16.2.1 y puede comprometer la integridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada para ciertos procesos de actualización de opciones en el plugin BM Content Builder. Esto permite que usuarios no autorizados, como suscriptores, puedan modificar configuraciones del plugin, lo que representa un vector de ataque significativo.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a usuarios malintencionados alterar configuraciones críticas del plugin, lo que podría llevar a la pérdida de datos, desconfiguración del sitio o incluso a la toma de control total del mismo. Esto puede resultar en daños a la reputación y pérdidas económicas para el negocio.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad enviando solicitudes maliciosas a través de la interfaz del plugin, aprovechando su acceso como usuarios autenticados con rol de suscriptor o superior para realizar cambios no autorizados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin BM Content Builder a la versión 3.16.3 o superior. Además, es aconsejable revisar los roles y permisos de los usuarios en el sitio para limitar el acceso a funciones críticas.

Señales de detección

Se deben monitorizar los registros de acceso y cambios en el plugin para detectar actividades inusuales, especialmente aquellas realizadas por usuarios con roles de bajo privilegio que intenten modificar configuraciones del plugin.

Alcance afectado

Las versiones del plugin BM Content Builder hasta la 3.16.2.1 están afectadas. La vulnerabilidad fue publicada el 24 de abril de 2025 y debe ser atendida con urgencia para evitar posibles explotaciones.