Xpro Addons <= 1.5.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Creation via get_menu_content_editor() Function en Xpro Elementor Addons (falta de autorizacion) - version 1.5.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Xpro Addons hasta la versión 1.5.1, que permite a usuarios autenticados con rol de suscriptor crear publicaciones arbitrarias. Este fallo puede comprometer la integridad del contenido en el sitio, afectando su operativa y reputación.

Contexto técnico

El fallo se encuentra en la función get_menu_content_editor(), que no valida adecuadamente los permisos de los usuarios. Esto permite que cualquier usuario autenticado, incluso con rol de suscriptor, pueda ejecutar acciones no autorizadas en el sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante crear contenido malicioso, lo que podría resultar en la desfiguración del sitio o en la propagación de spam. Además, la reputación del negocio puede verse gravemente afectada si se publican contenidos inapropiados.

Vector de explotación

Generalmente, los atacantes aprovechan la falta de validación de permisos en la función mencionada, enviando solicitudes manipuladas una vez autenticados en el sistema.

Mitigación recomendada

Actualizar el plugin Xpro Addons a la versión 1.5.2 o superior para corregir la vulnerabilidad. Revisar los registros de actividad para identificar posibles abusos por parte de usuarios suscriptores. Implementar controles adicionales de permisos para usuarios autenticados, limitando sus capacidades de publicación.

Señales de detección

Monitorear los registros de acceso y de cambios en las publicaciones para detectar creaciones inusuales por parte de usuarios con rol de suscriptor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.5.2 del plugin Xpro Addons. No se ha confirmado si otras extensiones o componentes del sistema están involucrados.