Search Exclude <= 2.5.7 – Missing Authorization to Authenticated (Contributor+) Search Settings Modification via REST API

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Search Exclude, que permite a usuarios autenticados con rol de colaborador o superior modificar configuraciones de búsqueda a través de la API REST. Esta falla afecta a las versiones hasta la 2.5.7 y tiene una severidad media con un CVSS de 4.3.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para modificar las configuraciones de búsqueda en el plugin Search Exclude mediante la API REST. Esto permite que usuarios que no deberían tener acceso a estas funciones puedan realizar cambios no autorizados.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a usuarios malintencionados modificar configuraciones críticas de búsqueda, lo que podría comprometer la integridad del contenido del sitio y afectar la experiencia del usuario. Esto puede resultar en una pérdida de confianza por parte de los usuarios y potencialmente en un daño a la reputación del negocio.

Vector de explotación

La vulnerabilidad se explota mediante el uso de la API REST, donde un usuario autenticado puede enviar solicitudes maliciosas para alterar las configuraciones de búsqueda sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Search Exclude a la versión 2.5.8 o superior. Además, es aconsejable revisar los permisos de los roles de usuario y aplicar buenas prácticas de seguridad en la configuración de la API REST.

Señales de detección

Señales que pueden indicar la explotación de esta vulnerabilidad incluyen cambios inesperados en las configuraciones de búsqueda y registros de acceso inusuales de usuarios con roles de colaborador o superiores.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.5.8 del plugin Search Exclude.