Firebase Support & Chat Management <= 3.1.1 - Missing Authorization to Authenticated (Subscriber+) Privilege Escalation en Admin Chat BOX (escalada de privilegios) - version 3.1.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Firebase Support & Chat Management, que permite a usuarios autenticados con privilegios de suscriptor escalar sus permisos. Esto puede comprometer la integridad de la gestión de chat y soporte en el sitio web.

Contexto técnico

La vulnerabilidad se origina en una falta de autorización adecuada que permite a los suscriptores acceder a funcionalidades reservadas para usuarios con mayores privilegios. El vector de ataque se centra en la interacción con el plugin en versiones 3.1.1 y anteriores.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a usuarios malintencionados obtener acceso no autorizado a funciones críticas, afectando la seguridad general del sitio y la confianza del usuario. Esto podría resultar en una pérdida de datos o en la manipulación de la información del chat.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad mediante la autenticación como suscriptor y realizar solicitudes que deberían estar restringidas a roles superiores.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 3.1.2. Actualiza admin-chat-box a la versión 3.1.2 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 3.1.2, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Monitorear los registros de acceso para detectar intentos inusuales de acceso a funciones administrativas por parte de usuarios con privilegios de suscriptor.

Alcance afectado

Las versiones del plugin Firebase Support & Chat Management hasta la 3.1.1 están afectadas. No se han confirmado otros escenarios de explotación más allá de esta versión.