All in One SEO < 4.9.9 - Missing Authorization en ALL IN ONE SEO Pack (falta de autorizacion)

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin All in One SEO Pack, versiones anteriores a 4.9.9, que permite la falta de autorización en ciertas operaciones. Esto puede resultar en un riesgo medio para la seguridad del sitio, afectando su integridad operativa.

Contexto técnico

El fallo se origina en la falta de controles de autorización en el plugin All in One SEO Pack, lo que permite a usuarios no autenticados realizar acciones no permitidas. La superficie de ataque se da principalmente a través de solicitudes maliciosas a endpoints específicos del plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la configuración SEO del sitio, permitiendo a atacantes modificar ajustes críticos. Esto podría afectar la visibilidad del sitio en motores de búsqueda y potencialmente desviar tráfico hacia sitios maliciosos.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes HTTP manipuladas a los endpoints del plugin, sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin All in One SEO Pack a la versión 4.9.9 o superior para corregir la vulnerabilidad. Revisar los registros de acceso para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como firewalls de aplicación web, para mitigar futuros riesgos.

Señales de detección

Monitorear los logs del servidor en busca de solicitudes inusuales hacia los endpoints del plugin, así como cambios no autorizados en la configuración SEO.

Alcance afectado

Las versiones del plugin All in One SEO Pack anteriores a 4.9.9 están afectadas. No se han confirmado escenarios adicionales que amplíen el alcance de la vulnerabilidad.