MasterStudy LMS WordPress Plugin – for Online Courses and Education <= 3.7.6 Missing Authorization to Authenticated (Subscriber+) Posts and Media Creation, Modification and Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin MasterStudy LMS para WordPress, que afecta a las versiones hasta la 3.7.6. Esta falla permite a usuarios autenticados con rol de suscriptor o superior realizar acciones no autorizadas sobre publicaciones y medios.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización adecuados que impiden que los usuarios autenticados gestionen publicaciones y medios de manera inapropiada. Esto expone el sistema a manipulaciones no deseadas y compromete la integridad de los contenidos.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios no autorizados modifiquen o eliminen contenidos críticos, lo que podría afectar la reputación del negocio y la confianza de los usuarios. Además, la exposición de datos sensibles podría llevar a un incumplimiento normativo.

Vector de explotación

La explotación de esta vulnerabilidad puede ocurrir cuando un usuario autenticado (con rol de suscriptor o superior) intenta realizar acciones de creación, modificación o eliminación de publicaciones y medios sin la autorización correspondiente.

Mitigación recomendada

Se recomienda actualizar el plugin MasterStudy LMS a la versión 3.7.7 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable revisar los permisos de usuario y aplicar políticas de acceso más estrictas.

Señales de detección

Señales de riesgo incluyen intentos inusuales de modificación de contenido por parte de usuarios con rol de suscriptor, así como registros de actividad que indiquen cambios no autorizados en publicaciones y medios.

Alcance afectado

Las versiones del plugin MasterStudy LMS hasta la 3.7.6 están afectadas. Se recomienda a todos los usuarios de este plugin revisar su versión y aplicar la actualización correspondiente.