GW AI Website Builder <= 1.0.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Plugin Settings Deletion (falta de autorizacion) - version 1.0.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin GW AI Website Builder (versión <= 1.0.1) que permite a usuarios autenticados (nivel Subscriber+) eliminar ajustes arbitrarios. Esta falta de autorización puede comprometer la integridad del sitio web y afectar su operación.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para la eliminación de configuraciones dentro del plugin. Los atacantes pueden aprovechar esta vulnerabilidad a través de solicitudes autenticadas, lo que expone el sistema a cambios no autorizados en la configuración del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la pérdida de configuraciones críticas del plugin, afectando la funcionalidad del sitio y potencialmente causando interrupciones en el servicio. Esto podría traducirse en una pérdida de confianza por parte de los usuarios y afectar la reputación del negocio.

Vector de explotación

La vulnerabilidad se explota mediante el envío de solicitudes autenticadas que no verifican correctamente los permisos del usuario, permitiendo la eliminación de ajustes sin la debida autorización.

Mitigación recomendada

Actualizar el plugin GW AI Website Builder a la versión 1.0.2 o superior. Revisar los registros de cambios recientes en la configuración del plugin para identificar posibles abusos. Implementar controles adicionales de autorización en la gestión de ajustes del plugin.

Señales de detección

Revisar los logs de acceso para identificar patrones inusuales de solicitudes de eliminación de ajustes por usuarios autenticados.

Alcance afectado

Las versiones del plugin GW AI Website Builder anteriores a la 1.0.2 son vulnerables. No se han confirmado casos de explotación en versiones posteriores.