Stackable <= 3.18.1 - Missing Authorization

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Stackable para WordPress, que afecta a las versiones hasta la 3.18.1. Esta vulnerabilidad presenta un nivel de severidad medio, con un CVSS de 4.3.

Contexto técnico

La vulnerabilidad se origina en una falta de autorización adecuada en ciertas funciones del plugin Stackable, lo que permite a usuarios no autenticados realizar acciones no autorizadas. Esto amplía la superficie de ataque, especialmente en sitios que dependen de este plugin para la creación de bloques en Gutenberg.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede incluir la manipulación de contenido, la posibilidad de inyección de código o la alteración de configuraciones del sitio, lo que podría comprometer la integridad y disponibilidad del mismo. Esto puede traducirse en pérdidas económicas y de reputación para las organizaciones afectadas.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad enviando solicitudes maliciosas a funciones específicas del plugin que no requieren autenticación, permitiendo así ejecutar acciones no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Stackable a la versión 3.19.0 o superior. Además, es aconsejable realizar una revisión de los permisos de usuario y aplicar medidas de hardening en la instalación de WordPress.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales, intentos de ejecución de funciones del plugin por usuarios no autenticados y cambios inesperados en el contenido del sitio.

Alcance afectado

Las versiones del plugin Stackable desde la 3.0 hasta la 3.18.1 son las que se encuentran afectadas por esta vulnerabilidad.