My Sticky Elements <= 2.3.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Bulk Lead Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin My Sticky Elements en versiones hasta 2.3.3, que permite la eliminación arbitraria de leads en bloque para usuarios autenticados con rol de suscriptor o superior. Esta falla de autorización podría comprometer la integridad de los datos gestionados por el plugin.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización adecuados, lo que permite a usuarios con privilegios limitados (suscriptores y superiores) realizar acciones que deberían estar restringidas. Esto afecta principalmente a la funcionalidad de gestión de leads dentro del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la pérdida de datos críticos y la alteración de registros de leads, afectando negativamente a la operativa del negocio y a la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin, lo que les permite ejecutar la eliminación de leads sin la autorización adecuada.

Mitigación recomendada

Se recomienda actualizar el plugin My Sticky Elements a la versión 2.3.4 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar políticas de acceso más estrictas.

Señales de detección

Monitorear los registros de acceso y las actividades inusuales relacionadas con la gestión de leads, así como alertas de intentos de eliminación de datos por parte de usuarios con privilegios limitados.

Alcance afectado

Las versiones del plugin My Sticky Elements hasta la 2.3.3 están afectadas. Es crucial verificar la versión instalada en todas las instalaciones que utilicen este plugin.