Site Kit by Google – Analytics, Search Console, AdSense, Speed < 1.176.0 - Missing Authorization to Authenticated (Editor+) Settings Update en Google Site KIT (falta de autorizacion)

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Google Site Kit que permite la actualización de configuraciones sin la debida autorización para usuarios con rol de Editor o superior. Esto puede comprometer la integridad de la configuración del plugin y, por ende, afectar la operativa del sitio web.

Contexto técnico

El fallo se presenta en versiones anteriores a la 1.176.0 del plugin Google Site Kit, donde se omite la verificación de autorización al actualizar configuraciones. Esto permite que usuarios no autorizados puedan modificar ajustes críticos del plugin.

Impacto potencial

El impacto de esta vulnerabilidad es considerado bajo, con un CVSS de 2.7, pero puede permitir cambios no deseados en la configuración del plugin, lo que podría afectar el rendimiento y la seguridad del sitio. Además, podría facilitar la explotación de otras vulnerabilidades si se combinan con configuraciones inseguras.

Vector de explotación

La explotación se puede realizar mediante la manipulación de peticiones HTTP para modificar configuraciones del plugin sin la debida autorización, especialmente si un usuario con rol de Editor o superior está comprometido.

Mitigación recomendada

Actualizar el plugin Google Site Kit a la versión 1.176.0 o superior. Revisar los roles y permisos de los usuarios en el sitio para asegurar que solo los usuarios autorizados tengan acceso a configuraciones críticas. Implementar un monitoreo continuo de los cambios en la configuración del plugin.

Señales de detección

Señales a observar incluyen cambios inusuales en la configuración del plugin y accesos no autorizados en los registros de actividad del sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.176.0 del plugin Google Site Kit. No se han confirmado casos en instalaciones que ya han sido actualizadas.