DSGVO All in one for WP <= 4.9 - Missing Authorization to Authenticated (Subscriber+) Settings Reset (falta de autorizacion) - version 5.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin DSGVO All in One para WordPress, que permite a usuarios autenticados (nivel Subscriber y superior) reiniciar configuraciones sin la debida autorización. Esta falla podría comprometer la integridad de la configuración del plugin y afectar la privacidad de los datos gestionados.

Contexto técnico

El fallo se origina en la falta de controles de autorización en las funciones de reinicio de configuraciones del plugin. Esto permite que usuarios con permisos limitados accedan a funcionalidades que deberían estar restringidas, exponiendo así la configuración del plugin a modificaciones no autorizadas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no privilegiados alterar configuraciones críticas del plugin, lo que podría llevar a la exposición de datos sensibles y a la pérdida de confianza por parte de los usuarios. Esto puede resultar en sanciones legales y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad puede llevarse a cabo mediante la manipulación de solicitudes HTTP a las funciones del plugin que no validan adecuadamente los permisos del usuario, permitiendo así el acceso no autorizado.

Mitigación recomendada

Actualizar el plugin DSGVO All in One a la versión 5.0 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de usuario en el sitio para limitar el acceso a funciones críticas. Implementar medidas adicionales de seguridad, como la auditoría de accesos y cambios en la configuración.

Señales de detección

Monitorizar los registros de acceso para detectar intentos de modificación de configuraciones por parte de usuarios no autorizados. Prestar atención a cambios inusuales en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin DSGVO All in One para WordPress hasta la 4.9. La vulnerabilidad ha sido corregida en la versión 5.0. No se han reportado casos de explotación activa hasta la fecha.