Beaver Builder – WordPress Page Builder <= 2.9.4 - Missing Authorization to Authenticated (Contributor+) Global Preset Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Beaver Builder para WordPress, que permite la modificación de ajustes globales por usuarios autenticados con rol de colaborador o superior. Esta falla afecta a las versiones hasta la 2.9.4 y se considera de severidad media.

Contexto técnico

La vulnerabilidad radica en la falta de controles adecuados de autorización, permitiendo que usuarios con permisos limitados (colaboradores) puedan realizar modificaciones no autorizadas en los ajustes globales del plugin. Esto expone la superficie de ataque a usuarios que no deberían tener acceso a estas funciones.

Impacto potencial

El impacto potencial incluye la alteración no autorizada de configuraciones del sitio, lo que podría comprometer la integridad del contenido y la experiencia del usuario. Además, podría dar lugar a un aumento en la carga de trabajo para los administradores al tener que revertir cambios no deseados.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza mediante la manipulación de solicitudes HTTP que permiten a los usuarios con permisos inadecuados modificar configuraciones del plugin, sin que se realicen las validaciones necesarias.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Beaver Builder a la versión 2.9.4.1 o superior. También es aconsejable revisar los roles y permisos de los usuarios en el sitio, asegurando que solo los usuarios autorizados tengan acceso a funciones críticas.

Señales de detección

Las señales que pueden indicar un riesgo de explotación incluyen cambios inesperados en la configuración del plugin, accesos no autorizados a funciones de administración y registros de actividad inusual por parte de usuarios con permisos limitados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.9.4.1 del plugin Beaver Builder. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y proceder a la actualización.