Advanced Custom Fields (ACF®) <= 6.7.0 - Unauthenticated Missing Authorization to Arbitrary Post/Page Disclosure via AJAX Field Query Parameters

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Advanced Custom Fields (ACF) que permite la divulgación no autorizada de contenido arbitrario a través de parámetros de consulta AJAX. Esta falla, clasificada como de severidad media, puede comprometer la información sensible de los sitios afectados.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización en las solicitudes AJAX del plugin ACF, específicamente en las versiones hasta la 6.7.0. Esto permite a un atacante no autenticado acceder a publicaciones y páginas arbitrarias mediante la manipulación de parámetros de consulta.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la exposición de información confidencial, afectando la privacidad de los usuarios y la integridad del contenido del sitio. Esto podría traducirse en daños a la reputación y posibles implicaciones legales para las organizaciones afectadas.

Vector de explotación

Los atacantes pueden aprovechar esta falla enviando solicitudes AJAX manipuladas que omiten la autorización necesaria para acceder a contenido restringido.

Mitigación recomendada

Actualizar el plugin Advanced Custom Fields a la versión 6.7.1 o superior para corregir la vulnerabilidad. Revisar los registros de acceso para detectar posibles intentos de explotación. Implementar controles de seguridad adicionales, como la limitación de acceso a las funciones AJAX del plugin.

Señales de detección

Señales de riesgo incluyen registros de solicitudes AJAX inusuales, accesos no autorizados a contenido y cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones del plugin Advanced Custom Fields hasta la 6.7.0 son vulnerables. No se han reportado casos de explotación en versiones posteriores a la 6.7.1.