Essential Addons for Elementor <= 6.5.5 - Missing Authorization to Unauthenticated Sensitive Information Exposure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autenticación en el plugin Essential Addons for Elementor en versiones hasta la 6.5.5, que permite la exposición de información sensible a usuarios no autenticados. Esta vulnerabilidad tiene una gravedad media con un CVSS de 5.3.

Contexto técnico

El fallo se origina debido a la falta de autorización adecuada para acceder a ciertas funciones del plugin, lo que permite a un atacante no autenticado obtener información sensible que debería estar protegida. La superficie de ataque se centra en las funcionalidades del plugin que no requieren autenticación para su acceso.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la divulgación de información sensible, lo que podría comprometer la seguridad de la instalación de WordPress y afectar la confianza de los usuarios. Esto puede resultar en daños a la reputación del negocio y posibles implicaciones legales.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a las funciones del plugin que no requieren autenticación, lo que les permite acceder a datos sensibles sin necesidad de credenciales.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Essential Addons for Elementor a la versión 6.5.6 o superior. Además, se sugiere revisar las configuraciones de acceso y aplicar medidas de hardening en la instalación de WordPress.

Señales de detección

Señales de posible explotación incluyen solicitudes inusuales a las funciones del plugin que deberían estar protegidas, así como intentos de acceso a información sensible por parte de usuarios no autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.5.6 del plugin Essential Addons for Elementor.