Awesome Support – WordPress HelpDesk & Support Plugin <= 6.3.6 - Missing Authorization to Unauthenticated Role Demotion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de omisión de autorización en el plugin Awesome Support para WordPress, que afecta a versiones hasta la 6.3.6. Esta falla permite la degradación de roles de usuarios no autenticados, lo que podría comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se clasifica como un bypass de autenticación y se produce debido a la falta de controles adecuados que impiden a los usuarios no autenticados realizar cambios en los roles de acceso. Esto expone la superficie de ataque a cualquier visitante del sitio, facilitando la manipulación no autorizada de permisos.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que permite a un atacante no autenticado modificar roles de usuario, lo que podría llevar a un acceso no autorizado a funciones críticas del sitio. Esto puede resultar en la pérdida de datos, alteraciones en la configuración del sitio y compromisos de seguridad más amplios.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad enviando solicitudes manipuladas al servidor, lo que les permitiría cambiar el rol de usuarios existentes o crear nuevos roles con privilegios elevados, sin necesidad de autenticarse.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Awesome Support a la versión 6.3.7 o superior. Además, se sugiere revisar la configuración de permisos de usuario y aplicar controles adicionales de autenticación y autorización en el sitio.

Señales de detección

Las señales de posible explotación incluyen cambios inesperados en los roles de usuario, accesos no autorizados a áreas restringidas del sitio y registros de actividad sospechosa en el sistema de gestión de usuarios.

Alcance afectado

Las versiones del plugin Awesome Support hasta la 6.3.6 son las afectadas. La vulnerabilidad fue corregida en la versión 6.3.7, lanzada el 15 de enero de 2026.