Meta Box AIO <= 3.8.0 - Missing Authorization to Unauthenticated Arbitrary Post Deletion via 'rwmb_frontend_field_object_id' Parameter (falta de autorizacion) - version 3.9.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Meta Box AIO (versiones hasta 3.8.0) que permite la eliminación arbitraria de publicaciones sin autorización adecuada. Este fallo puede ser explotado por usuarios no autenticados, comprometiendo la integridad del contenido del sitio web.

Contexto técnico

La vulnerabilidad se origina en el parámetro 'rwmb_frontend_field_object_id', que no valida correctamente la autorización de los usuarios. Esto permite a atacantes no autenticados realizar solicitudes para eliminar publicaciones, afectando directamente la gestión de contenido del sitio.

Impacto potencial

La eliminación no autorizada de publicaciones puede resultar en la pérdida de datos críticos y en la interrupción de servicios, lo que impacta negativamente en la reputación del negocio y la confianza de los usuarios. La severidad de esta vulnerabilidad, con un CVSS de 9.1, la clasifica como crítica.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas que incluyen el parámetro vulnerable, permitiendo la eliminación de publicaciones sin necesidad de autenticación.

Mitigación recomendada

Actualizar el plugin Meta Box AIO a la versión 3.9.0 o superior para corregir la vulnerabilidad. Revisar los registros de actividad para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como restricciones en el acceso a funciones críticas del plugin.

Señales de detección

Señales de posible explotación incluyen entradas en los registros que muestran intentos de eliminación de publicaciones por usuarios no autenticados o solicitudes inusuales que contienen el parámetro 'rwmb_frontend_field_object_id'.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.9.0 del plugin Meta Box AIO. No se han confirmado casos de explotación en versiones posteriores.