Featured Image Plus <= 1.6.4 - Missing Authorization to Authenticated (Subscriber+) Featured Image Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Featured Image Plus, que permite a usuarios autenticados con rol de suscriptor o superior actualizar imágenes destacadas sin la autorización adecuada. Esta falla tiene una severidad media, con un CVSS de 4.3.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización al actualizar imágenes destacadas. Esto permite que usuarios con permisos limitados puedan realizar acciones que deberían estar restringidas, comprometiendo la integridad de los contenidos del sitio.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios no autorizados modifiquen o sustituyan imágenes destacadas, lo que podría afectar la presentación del contenido y la reputación del sitio. Además, puede abrir la puerta a otras vulnerabilidades si se explota de forma coordinada.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la manipulación de solicitudes HTTP para realizar actualizaciones de imágenes destacadas sin la debida autorización, aprovechando la falta de validaciones en el plugin.

Mitigación recomendada

Actualizar el plugin Featured Image Plus a la versión 1.6.6 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de los usuarios y aplicar medidas de hardening en la gestión de roles y capacidades.

Señales de detección

Señales de riesgo pueden incluir registros de cambios inesperados en las imágenes destacadas por parte de usuarios con permisos limitados, así como intentos de acceso no autorizados a funciones de actualización de contenido.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.6.6 del plugin Featured Image Plus. Se recomienda a los administradores de WordPress verificar sus instalaciones y realizar la actualización correspondiente.