Slider Revolution 6.0.0-6.7.55 and 7.0.0-7.0.14 - Missing Authorization to Authenticated (Contributor+) Arbitrary Plugin Deactivation en Revslider (falta de autorizacion) - version 6.7.56

Resumen ejecutivo

Una vulnerabilidad en Slider Revolution permite a usuarios autenticados con rol de contribuidor o superior desactivar plugins arbitrariamente. Esto puede comprometer la funcionalidad del sitio y la seguridad general del mismo.

Contexto técnico

La vulnerabilidad se encuentra en las versiones 6.0.0 a 6.7.55 y 7.0.0 a 7.0.14 del plugin Slider Revolution. Se permite la desactivación de plugins sin la autorización adecuada, exponiendo el sitio a posibles abusos.

Impacto potencial

El impacto potencial incluye la pérdida de funcionalidad de plugins críticos y un aumento en la superficie de ataque, lo que puede llevar a compromisos de seguridad más graves. La severidad se clasifica como media (CVSS 4.3).

Vector de explotación

La explotación se realiza mediante el acceso a funciones del plugin que no requieren permisos adecuados, permitiendo a un usuario autenticado desactivar otros plugins sin autorización.

Mitigación recomendada

Actualizar Slider Revolution a la versión 6.7.56 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y roles para limitar el acceso a funciones críticas del plugin. Monitorizar la actividad de los usuarios autenticados para detectar accesos inusuales.

Señales de detección

Revisar los registros de actividad para identificar intentos de desactivación de plugins por usuarios no autorizados.

Alcance afectado

Las versiones afectadas son 6.0.0 a 6.7.55 y 7.0.0 a 7.0.14. No se han confirmado casos en versiones posteriores a la 6.7.56.