ACF to REST API <= 3.3.4 - Insecure Direct Object Reference to Authenticated (Contributor+) ACF Field/Option Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin 'ACF to REST API' en versiones hasta la 3.3.4, que permite la modificación no segura de campos y opciones de ACF para usuarios autenticados con rol de colaborador o superior. Esta vulnerabilidad presenta un nivel de severidad medio con un CVSS de 4.3.

Contexto técnico

La vulnerabilidad se origina en una referencia directa a objetos insegura, lo que permite a un atacante autenticado manipular los datos de ACF. Esto se produce cuando los controles de acceso no son adecuados, lo que permite a usuarios con permisos limitados acceder y modificar información sensible.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de los datos gestionados por el plugin, permitiendo a usuarios no autorizados modificar configuraciones críticas. Esto podría resultar en un daño a la reputación de la empresa, pérdida de datos y posibles implicaciones legales.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante el envío de solicitudes manipuladas a la API REST, aprovechando la falta de validación adecuada de permisos para modificar los campos de ACF.

Mitigación recomendada

Actualizar el plugin 'ACF to REST API' a la versión 3.3.4 o superior para cerrar la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar controles adicionales sobre las operaciones de modificación de datos en la API.

Señales de detección

Señales de explotación incluyen cambios inesperados en los campos de ACF, así como registros de acceso inusuales por parte de usuarios con roles de colaborador o superiores que intentan modificar datos no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.3.4 del plugin 'ACF to REST API'.