Multiple WPOnlineSupport Plugins <= (Various Versions) - Missing Authorization to Notice Dismissal

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en varios plugins de WPOnlineSupport, incluyendo el plugin HTML5 VideoGallery Plus Player. Esta falla permite que un usuario no autorizado pueda cerrar notificaciones, lo que puede comprometer la seguridad del sistema.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados al gestionar las notificaciones dentro del plugin. Esto permite que cualquier usuario, independientemente de su nivel de acceso, pueda eliminar mensajes de aviso que podrían ser críticos para la seguridad y el funcionamiento del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a los atacantes ocultar notificaciones importantes que podrían alertar sobre otros problemas de seguridad. Esto podría llevar a una mayor exposición a ataques y a una disminución de la confianza en la integridad del sitio web.

Vector de explotación

La explotación de esta vulnerabilidad se puede realizar mediante la manipulación de solicitudes HTTP, permitiendo a un atacante no autorizado cerrar notificaciones sin tener los permisos necesarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin HTML5 VideoGallery Plus Player a la versión 2.6.6 o superior. Además, se sugiere revisar las configuraciones de permisos y realizar auditorías de seguridad periódicas.

Señales de detección

Las señales de posible explotación incluyen la presencia de solicitudes inusuales que intentan cerrar notificaciones sin la debida autorización, así como cambios inesperados en la visibilidad de las notificaciones en el panel de administración.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin HTML5 VideoGallery Plus Player y otros plugins de WPOnlineSupport hasta la versión 2.6.5. Se recomienda verificar la versión utilizada en cada instalación.