Blocks for ACF Fields <= 1.6.2 - Missing Authorization to Authenticated (Author+) Arbitrary ACF Field Value Disclosure via 'id' Parameter en ACF Field Blocks (falta de autorizacion) - version 1.6.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Blocks for ACF Fields' hasta la versión 1.6.2, que permite la divulgación arbitraria de valores de campos ACF a través del parámetro 'id'. Esto puede comprometer la información sensible de los usuarios autenticados, afectando la integridad de la aplicación.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para acceder a ciertos valores de campos ACF, lo que permite a usuarios autenticados (con rol de autor o superior) acceder a datos que no deberían estar disponibles. La superficie de ataque se centra en las solicitudes que incluyen el parámetro 'id'.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la exposición de información sensible, lo que podría resultar en pérdida de confianza por parte de los usuarios y posibles implicaciones legales. Además, afecta la seguridad general del sitio web al permitir acceso no autorizado a datos críticos.

Vector de explotación

Generalmente, el ataque se lleva a cabo enviando solicitudes manipuladas que incluyen un parámetro 'id' que apunta a campos ACF específicos, permitiendo la divulgación de valores sin la debida autorización.

Mitigación recomendada

Actualizar el plugin 'Blocks for ACF Fields' a la versión 1.6.3 o superior. Revisar y reforzar las configuraciones de permisos para usuarios autenticados. Realizar auditorías de seguridad periódicas para identificar accesos no autorizados.

Señales de detección

Monitorizar los logs de acceso para detectar patrones inusuales de solicitudes que incluyan el parámetro 'id'. Revisar los cambios en los valores de campos ACF que no correspondan a las acciones de los usuarios autorizados.

Alcance afectado

Las versiones del plugin 'Blocks for ACF Fields' hasta la 1.6.2 están afectadas. No se han confirmado casos de explotación en versiones posteriores a la 1.6.3.