WordPress Core <= 7.0.2 - Authenticated (Subscriber+) Missing Authorization to Arbitrary Site Creation on Multisite (falta de autorizacion) - version 4.7.34

Resumen ejecutivo

Se ha detectado una vulnerabilidad en el núcleo de WordPress que permite a usuarios autenticados (nivel Suscriptor y superior) crear sitios arbitrarios en entornos Multisite. Esto puede comprometer la integridad del sistema y permitir el abuso de recursos.

Contexto técnico

La vulnerabilidad se encuentra en la funcionalidad de creación de sitios dentro de instalaciones Multisite de WordPress. Usuarios con permisos de suscriptor o superiores pueden eludir las restricciones de autorización, lo que les permite crear nuevos sitios sin la debida autorización.

Impacto potencial

El impacto potencial incluye la creación no autorizada de sitios que pueden ser utilizados para alojar contenido malicioso o spam, afectando la reputación del dominio y consumiendo recursos del servidor. Además, esto puede facilitar ataques adicionales si los nuevos sitios no son adecuadamente gestionados.

Vector de explotación

La explotación se lleva a cabo mediante el acceso a la interfaz de administración de WordPress, donde un usuario autenticado puede ejecutar acciones no autorizadas para crear nuevos sitios.

Mitigación recomendada

Limitar los permisos de usuarios a nivel de suscriptor, impidiendo la creación de nuevos sitios. Actualizar WordPress a la versión 4.7.34 o superior, donde la vulnerabilidad ha sido corregida. Verificar la configuración de permisos en el panel de administración de WordPress Multisite.

Señales de detección

Revisar los logs de acceso para detectar intentos inusuales de creación de sitios y cambios en la configuración de Multisite que no correspondan a acciones autorizadas.

Alcance afectado

Las versiones de WordPress Core afectadas son las anteriores a la 4.7.34. No se han confirmado otros escenarios fuera de este contexto.