Custom Post Type UI <= 1.18.0 - Missing Authorization to Unauthenticated (Previously Administrator+) Custom Post Type Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin Custom Post Type UI, que afecta a versiones anteriores a la 1.18.0. Esta falla permite a usuarios no autenticados modificar tipos de publicaciones personalizadas, lo que puede comprometer la integridad del contenido del sitio.

Contexto técnico

El fallo se origina en la falta de validación de permisos para la modificación de tipos de publicaciones personalizadas. Esto significa que cualquier usuario, sin necesidad de autenticación previa, puede realizar cambios en la configuración de estos tipos de publicaciones, lo que representa un riesgo significativo para la gestión del contenido.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la alteración no autorizada de publicaciones y configuraciones, afectando la integridad del contenido y potencialmente dañando la reputación del negocio. La falta de control de acceso también podría abrir la puerta a otras vulnerabilidades relacionadas.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin para modificar tipos de publicaciones sin necesidad de estar autenticados, lo que facilita la manipulación del contenido del sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.18.1 o superior. Además, se sugiere revisar las configuraciones de permisos y aplicar controles adicionales sobre las modificaciones de tipos de publicaciones personalizadas.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en tipos de publicaciones personalizadas y registros de acceso inusuales que indiquen intentos de modificación por parte de usuarios no autenticados.

Alcance afectado

Las versiones del plugin Custom Post Type UI hasta la 1.18.0 están afectadas. Es crucial que los usuarios verifiquen la versión instalada y realicen la actualización correspondiente.