The Cache Purger <= 2.3.20 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Log Deletion via 'the_log_purge' Parameter (falta de autorizacion) - version 2.3.21

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin The Cache Purger, que permite a usuarios autenticados con rol de suscriptor o superior eliminar logs arbitrarios. Esta falla puede comprometer la integridad de la información y la seguridad operativa del sitio.

Contexto técnico

La vulnerabilidad se localiza en el parámetro 'the_log_purge', el cual no cuenta con las adecuadas restricciones de autorización. Esto permite a usuarios no autorizados ejecutar acciones que deberían estar restringidas, facilitando el borrado de logs críticos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la manipulación de registros de actividad, lo que podría dificultar la auditoría y la detección de actividades maliciosas. Esto pone en riesgo la seguridad del sitio y la confianza de los usuarios.

Vector de explotación

La explotación se realiza mediante la manipulación del parámetro 'the_log_purge' en solicitudes HTTP, permitiendo a usuarios autenticados eliminar registros sin las autorizaciones necesarias.

Mitigación recomendada

Actualizar el plugin The Cache Purger a la versión 2.3.21 o superior. Revisar los permisos de usuario para asegurar que solo los roles adecuados tengan acceso a funciones críticas. Implementar monitoreo de logs para detectar cambios no autorizados.

Señales de detección

Señales de alerta incluyen registros de actividad que muestran eliminaciones inusuales de logs o accesos a funciones de administración por parte de usuarios no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.3.21 del plugin The Cache Purger. No se han reportado casos de explotación en versiones más recientes.