Activity Log for WordPress <= 1.2.8 - Missing Authorization to Sensitive Information Exposure via Log File

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Activity Log for WordPress' en versiones hasta la 1.2.8, que permite la exposición no autorizada de información sensible a través de archivos de registro. Esta vulnerabilidad tiene una severidad media y un CVSS de 6.5.

Contexto técnico

El fallo radica en la falta de autorización adecuada para acceder a información sensible almacenada en los archivos de registro del plugin. Esto permite a usuarios no autorizados acceder a datos que deberían estar protegidos.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la información sensible de la instalación de WordPress, afectando la privacidad de los usuarios y la integridad de los datos. Esto podría resultar en daños a la reputación del negocio y posibles sanciones legales.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad accediendo a los archivos de registro sin las credenciales adecuadas, lo que les permite visualizar información sensible que no debería ser accesible.

Mitigación recomendada

Actualizar el plugin 'Activity Log for WordPress' a la versión 1.2.9 o superior. Además, se recomienda revisar los permisos de acceso a los archivos de registro y aplicar medidas de seguridad adicionales para proteger la información sensible.

Señales de detección

Señales de posible explotación incluyen accesos no autorizados a archivos de registro, intentos de visualización de información sensible por usuarios no autenticados, y cambios inusuales en los registros de actividad.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.2.9 del plugin 'Activity Log for WordPress'.