Mesmerize Companion <= 1.6.158 - Missing Authorization Authenticated (Subscriber+) Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Mesmerize Companion, que afecta a las versiones hasta la 1.6.158. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior realizar actualizaciones de configuraciones sin la autorización adecuada.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en la actualización de configuraciones del plugin. Esto permite que usuarios con permisos insuficientes puedan modificar ajustes que deberían estar restringidos a roles más altos, lo que expone la superficie de ataque a manipulaciones maliciosas.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que podría permitir a un atacante autenticado alterar configuraciones críticas del sitio, comprometiendo así su integridad y funcionamiento. Esto podría resultar en una degradación del servicio o en la exposición de datos sensibles.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad accediendo al panel de administración con un rol de suscriptor o superior y realizando cambios no autorizados en las configuraciones del plugin, lo que podría llevar a una escalada de privilegios o a la manipulación del sitio.

Mitigación recomendada

Se recomienda actualizar el plugin Mesmerize Companion a la versión 1.6.162 o superior para mitigar esta vulnerabilidad. Además, es aconsejable revisar los permisos de los usuarios y aplicar principios de menor privilegio en la gestión de roles.

Señales de detección

Señales de riesgo incluyen cambios inesperados en las configuraciones del plugin por parte de usuarios con rol de suscriptor, así como actividades inusuales en el registro de auditoría del sitio.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin Mesmerize Companion hasta la versión 1.6.158, publicada antes del 18 de febrero de 2026.