Internal Link Optimiser <= 5.1.2 - Missing Authorization to Unauthenticated Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin Internal Link Optimiser, que afecta a versiones hasta la 5.1.2. Esta falla permite la actualización de configuraciones sin la debida autenticación, lo que puede comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en la gestión de permisos del plugin, permitiendo a usuarios no autenticados realizar cambios en la configuración. Esto se debe a una falta de validación adecuada en las solicitudes de actualización de ajustes.

Impacto potencial

El impacto puede ser significativo, ya que un atacante podría modificar configuraciones críticas del plugin, afectando la funcionalidad del sitio y potencialmente permitiendo la ejecución de acciones no autorizadas. Esto podría llevar a la exposición de datos sensibles o a la alteración del contenido.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas para actualizar la configuración del plugin sin requerir autenticación previa, lo que facilita su acceso a funcionalidades restringidas.

Mitigación recomendada

Se recomienda actualizar el plugin Internal Link Optimiser a la versión 5.1.3 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales para proteger el acceso a la administración del sitio.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración del plugin o registros de acceso inusuales desde direcciones IP no reconocidas que intenten realizar modificaciones.

Alcance afectado

Las versiones del plugin Internal Link Optimiser hasta la 5.1.2 son vulnerables. Las instalaciones que no han actualizado a la versión 5.1.3 o superior están en riesgo.