SEO Plugin by Squirrly SEO <= 12.4.16 - Missing Authorization to Authenticated (Contributor+) Privileged Cloud API Operations (falta de autorizacion) - version 12.4.17

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Squirrly SEO (versiones hasta 12.4.16) que permite realizar operaciones privilegiadas en la API sin la debida autorización. Esto puede comprometer la seguridad del sitio web y permitir acciones no autorizadas por usuarios con privilegios de contribuyente.

Contexto técnico

El fallo se presenta en las operaciones de la API en la nube del plugin, donde no se requiere autorización adecuada para realizar acciones que deberían estar restringidas a usuarios con privilegios más altos. Esto expone el sistema a un acceso no autorizado por parte de usuarios autenticados.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante con acceso de contribuyente realizar cambios no autorizados en la configuración del sitio, lo que podría afectar la integridad de los datos y la funcionalidad del mismo. Esto puede resultar en pérdida de confianza por parte de los usuarios y posibles repercusiones legales.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante el envío de solicitudes a la API del plugin sin la validación adecuada de permisos, permitiendo que un usuario autenticado ejecute operaciones privilegiadas.

Mitigación recomendada

Actualizar el plugin Squirrly SEO a la versión 12.4.17 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y asegurarse de que solo los roles adecuados tengan acceso a funciones críticas. Implementar un monitoreo continuo de las actividades de la API para detectar accesos inusuales.

Señales de detección

Señales de alerta incluyen registros de acceso a la API que muestran operaciones realizadas por usuarios con privilegios de contribuyente que no deberían tener acceso a ciertas funciones.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Squirrly SEO hasta la 12.4.16. Las versiones posteriores no están afectadas.