Quiz And Survey Master <= 10.3.1 - Missing Authorization to Authenticated (Subscriber+) Quiz Results Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Quiz And Survey Master, que permite la eliminación no autorizada de resultados de cuestionarios por parte de usuarios autenticados con rol de suscriptor o superior. Esta falla afecta a las versiones hasta la 10.3.1 y se ha corregido en la versión 10.3.2.

Contexto técnico

El fallo radica en la falta de autorización adecuada para la eliminación de resultados de cuestionarios, lo que permite a usuarios con permisos limitados realizar acciones que normalmente estarían restringidas. Esto expone la superficie de ataque a usuarios que, aunque autenticados, no deberían tener acceso a ciertas funcionalidades.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados manipular datos críticos, afectando la integridad de los resultados de las encuestas y cuestionarios. Esto puede llevar a una pérdida de confianza por parte de los usuarios y repercusiones en la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad mediante la autenticación en el sistema y el uso de solicitudes maliciosas para eliminar resultados de cuestionarios, sin que se verifique su autorización para realizar dicha acción.

Mitigación recomendada

Se recomienda actualizar el plugin Quiz And Survey Master a la versión 10.3.2 o superior. Además, es aconsejable revisar los permisos de los roles de usuario y aplicar prácticas de seguridad adicionales para limitar el acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen registros de eliminación de resultados de cuestionarios por parte de usuarios que no deberían tener acceso a dicha funcionalidad. También se deben monitorizar cambios inusuales en los datos de los cuestionarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 10.3.2 del plugin Quiz And Survey Master. Se recomienda a todos los usuarios de estas versiones que realicen la actualización a la brevedad.