Create DB Tables <= 1.2.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Database Table Creation/Deletion via admin-post.php (falta de autorizacion)

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Create DB Tables, que permite a usuarios autenticados (nivel Subscriber+) crear y eliminar tablas de base de datos sin autorización adecuada. Esta falla puede comprometer la integridad de la base de datos y la seguridad del sitio web.

Contexto técnico

El fallo se origina en el archivo admin-post.php del plugin, donde la falta de controles de autorización permite a usuarios con privilegios limitados ejecutar acciones no permitidas. Esto expone la base de datos a manipulaciones no autorizadas.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la creación o eliminación de tablas de base de datos, afectando la funcionalidad del sitio y potencialmente exponiendo datos sensibles. Esto puede llevar a una pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a admin-post.php, aprovechando la falta de verificación de permisos para ejecutar comandos de base de datos.

Mitigación recomendada

Actualizar el plugin Create DB Tables a la versión 1.2.1 o superior para cerrar la vulnerabilidad. Revisar y ajustar las configuraciones de permisos de usuario para limitar el acceso a funciones críticas. Realizar auditorías de seguridad periódicas para identificar y mitigar riesgos potenciales.

Señales de detección

Monitorear logs de acceso para detectar solicitudes inusuales a admin-post.php y revisar cambios en la estructura de la base de datos que no correspondan a acciones autorizadas.

Alcance afectado

Las versiones del plugin Create DB Tables anteriores a la 1.2.1 son vulnerables. No se han confirmado otros escenarios fuera de esta versión.