Custom Fonts – Host Your Fonts Locally <= 2.1.16 - Missing Authorization to Unauthenticated Font Deletion (falta de autorizacion) - version 2.1.17

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin 'Custom Fonts – Host Your Fonts Locally' en versiones hasta la 2.1.16. Esta falla permite la eliminación no autorizada de fuentes por parte de usuarios no autenticados.

Contexto técnico

La vulnerabilidad se encuentra en la gestión de permisos del plugin, donde no se implementan adecuadamente las verificaciones de autorización para la eliminación de fuentes. Esto expone a los sitios a ataques que pueden comprometer la integridad de los recursos de fuentes alojados localmente.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante eliminar fuentes críticas, afectando la apariencia y funcionalidad del sitio web. Esto puede resultar en una mala experiencia para los usuarios y potencialmente dañar la reputación de la marca.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP maliciosas para eliminar fuentes sin necesidad de autenticación previa, lo que facilita el acceso no autorizado a funciones críticas del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.1.17 o superior. Además, se sugiere revisar y reforzar las configuraciones de seguridad y permisos de acceso en el sitio web.

Señales de detección

Señales de posible explotación incluyen registros de eliminación de fuentes sin actividad de usuarios autenticados, así como intentos de acceso a funciones administrativas del plugin por parte de usuarios no autenticados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 'Custom Fonts – Host Your Fonts Locally' hasta la 2.1.16. Se debe verificar la versión instalada en cada sitio para determinar si está en riesgo.