Service Finder Bookings <= 6.0 - Unauthenticated Privilege Escalation via claim_business

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Service Finder Bookings, que permite la escalación de privilegios no autenticados. Esta falla afecta a las versiones hasta la 6.0, con un CVSS de 9.8, lo que la convierte en una amenaza significativa para la seguridad de los sitios web que lo utilizan.

Contexto técnico

La vulnerabilidad se origina en la funcionalidad del plugin que permite a los usuarios no autenticados reclamar un negocio. Esto puede ser aprovechado por un atacante para elevar sus privilegios y obtener acceso no autorizado a funcionalidades restringidas del sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante tomar control de funciones administrativas del plugin, lo que podría resultar en la alteración de datos, acceso a información sensible y potencialmente comprometer la integridad del sitio web en su totalidad.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas al plugin para reclamar un negocio sin necesidad de autenticación previa, lo que les permite escalar privilegios de forma ilícita.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Service Finder Bookings a la versión 6.0 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la limitación de acceso a funciones críticas y la monitorización de actividades sospechosas.

Señales de detección

Se deben vigilar registros de acceso y actividad del plugin, buscando patrones inusuales de reclamación de negocios, así como intentos de acceso a funciones administrativas por parte de usuarios no autenticados.

Alcance afectado

Las versiones del plugin Service Finder Bookings hasta la 6.0 están afectadas. Los usuarios que no hayan actualizado a la versión corregida están en riesgo.