Assistio <= 1.1.2 - Missing Authorization to Authenticated (Subscriber+) Plugin Settings Deletion via assistio_plugin_delete_assistio_settings AJAX Action (falta de autorizacion)

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Assistio (versiones hasta 1.1.2) que permite la eliminación no autorizada de configuraciones por usuarios autenticados. Esta falla puede comprometer la integridad de la configuración del plugin y afectar la operativa del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en la acción AJAX 'assistio_plugin_delete_assistio_settings', donde no se implementa correctamente la autorización para usuarios con rol de suscriptor o superior. Esto permite que un atacante autenticado elimine configuraciones críticas del plugin sin los permisos adecuados.

Impacto potencial

El impacto potencial incluye la pérdida de configuraciones esenciales del plugin, lo que podría llevar a una degradación del servicio o incluso a la inoperatividad del sitio. La severidad del fallo se clasifica como media, con un CVSS de 4.3, lo que indica un riesgo moderado que debe ser abordado.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante el envío de una solicitud AJAX maliciosa por parte de un usuario autenticado, que intenta eliminar configuraciones sin la debida autorización.

Mitigación recomendada

Actualizar el plugin Assistio a la versión 1.1.2 o superior para corregir la vulnerabilidad. Revisar los roles y permisos de los usuarios autenticados para limitar el acceso a funciones críticas. Implementar medidas de seguridad adicionales, como la auditoría de logs de acceso y cambios en configuraciones.

Señales de detección

Señales a observar incluyen registros de acceso inusuales donde usuarios con rol de suscriptor intentan acceder a funciones de eliminación de configuraciones, así como cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.1.2 del plugin Assistio. No se han confirmado otros escenarios de explotación fuera de este contexto.