Blaze Demo Importer 1.0.0 - 1.0.13 - Missing Authorization to Authenticated (Subscriber+) Database Reset and File Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Blaze Demo Importer, que afecta a las versiones desde la 1.0.0 hasta la 1.0.13. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior realizar un reinicio de la base de datos y eliminar archivos sin la autorización adecuada.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en las funciones que manejan el reinicio de la base de datos y la eliminación de archivos. Esto permite que usuarios con privilegios mínimos puedan ejecutar acciones que deberían estar restringidas a administradores, comprometiendo la integridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios malintencionados borrar datos críticos y afectar el funcionamiento del sitio web. Esto podría resultar en pérdida de datos, interrupciones del servicio y daños a la reputación de la empresa.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza mediante la autenticación en el sitio como un usuario con rol de suscriptor o superior, seguido de la ejecución de funciones específicas del plugin que no cuentan con la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Blaze Demo Importer a la versión 1.0.14 o superior. Además, se sugiere realizar una revisión de los permisos de usuario y aplicar prácticas de hardening en la configuración del sitio.

Señales de detección

Señales de posible explotación incluyen registros de accesos inusuales por parte de usuarios autenticados, así como cambios inesperados en la base de datos o eliminación de archivos críticos.

Alcance afectado

Las versiones afectadas son desde la 1.0.0 hasta la 1.0.13 del plugin Blaze Demo Importer. Es crucial que los usuarios de estas versiones apliquen las actualizaciones necesarias.