Post SMTP <= 3.4.1 - Missing Authorization to Authenticated (Subscriber+) Limited Plugin Option Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Post SMTP, que afecta a las versiones hasta la 3.4.1. Esta falla permite a usuarios autenticados con rol de suscriptor o superior realizar actualizaciones de opciones limitadas sin la autorización adecuada.

Contexto técnico

El fallo se origina en la falta de controles de autorización en ciertas funcionalidades del plugin. Esto permite que usuarios con privilegios mínimos puedan modificar configuraciones que deberían estar restringidas, aumentando la superficie de ataque del sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante modificar configuraciones críticas del plugin, lo que podría comprometer la integridad del sistema de correo electrónico y potencialmente facilitar ataques más avanzados en el sitio web.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad accediendo al panel de administración con credenciales de usuario autenticado y realizando cambios no autorizados en las opciones del plugin.

Mitigación recomendada

Se recomienda actualizar el plugin Post SMTP a la versión 3.4.2 o superior para mitigar esta vulnerabilidad. Además, es aconsejable revisar los permisos de usuario y aplicar el principio de menor privilegio.

Señales de detección

Se pueden observar cambios no autorizados en la configuración del plugin, así como accesos inusuales desde cuentas de usuario con roles limitados que intentan modificar opciones del plugin.

Alcance afectado

Las versiones del plugin Post SMTP anteriores a la 3.4.2 son las afectadas. Esto incluye todas las instalaciones que no han realizado la actualización desde la publicación de la vulnerabilidad el 2 de septiembre de 2025.