AutomatorWP <= 5.3.7 - Authenticated (Subscriber+) Missing Authorization to Multiple Functions

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin AutomatorWP, que afecta a las versiones hasta la 5.3.7. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior acceder a funciones sin la autorización adecuada.

Contexto técnico

El fallo se origina en la falta de controles de autorización en múltiples funciones del plugin. Esto permite que usuarios con permisos limitados puedan ejecutar acciones que normalmente estarían restringidas, comprometiendo así la integridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante autenticado realizar acciones no autorizadas, lo que podría llevar a la alteración de datos o a la ejecución de funciones críticas. Esto representa un riesgo significativo para la seguridad y la operativa del negocio.

Vector de explotación

Los atacantes podrían aprovechar esta vulnerabilidad accediendo al sitio con una cuenta de usuario autenticada y utilizando las funciones vulnerables sin los permisos adecuados.

Mitigación recomendada

Actualizar el plugin AutomatorWP a la versión 5.3.8 o superior para mitigar la vulnerabilidad. Además, se recomienda revisar los permisos de los usuarios y aplicar políticas de acceso más estrictas.

Señales de detección

Señales de explotación pueden incluir registros de acceso inusuales por parte de usuarios con permisos limitados o intentos de ejecución de funciones restringidas.

Alcance afectado

Las versiones del plugin AutomatorWP hasta la 5.3.7 están afectadas. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar las actualizaciones necesarias.