Image Photo Gallery Final Tiles Grid <= 3.6.7 - Missing Authorization to Authenticated (Contributor+) Gallery Management

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo medio en el plugin 'Image Photo Gallery Final Tiles Grid' en versiones hasta la 3.6.7, que permite la gestión de galerías sin la autorización adecuada para usuarios autenticados con rol de contribuidor o superior. La versión corregida es la 3.6.8, publicada el 18 de diciembre de 2025.

Contexto técnico

El fallo se origina en la falta de controles de autorización en las funciones de gestión de galerías del plugin, lo que permite a usuarios con roles inferiores acceder y modificar galerías que no deberían poder gestionar. Este tipo de vulnerabilidad puede ser explotada a través de la interfaz del plugin, afectando la integridad del contenido.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio, permitiendo a usuarios no autorizados realizar cambios en las galerías, lo que podría resultar en la pérdida de datos o en la manipulación del contenido visual. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a las funciones del plugin que no verifican correctamente los permisos del usuario. Esto podría hacerse mediante herramientas automatizadas o scripts personalizados que interactúan con la API del plugin.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 3.6.8 o superior para mitigar esta vulnerabilidad. Además, es aconsejable revisar los permisos de usuario y aplicar prácticas de hardening, como limitar el acceso a funciones críticas del plugin y auditar regularmente los roles y capacidades de los usuarios.

Señales de detección

Señales de riesgo incluyen cambios inesperados en las galerías del sitio, accesos no autorizados a funciones de gestión del plugin y registros de actividad inusuales relacionados con usuarios con roles de contribuidor o superiores.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.6.8 del plugin 'Image Photo Gallery Final Tiles Grid'.