Multiple WPOnlineSupport Plugins <= (Various Versions) - Missing Authorization to Notice Dismissal

Resumen ejecutivo

Se ha identificado una vulnerabilidad de nivel medio en múltiples plugins de WPOnlineSupport, que permite la eliminación de notificaciones sin la debida autorización. Esta falla afecta a varias versiones anteriores a la 1.2.5, publicada el 16 de agosto de 2023.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en los plugins afectados, lo que permite a usuarios no autorizados llevar a cabo acciones que deberían estar restringidas. Esto expone la superficie de ataque al permitir la manipulación de notificaciones del sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes potenciales ocultar notificaciones importantes, lo que podría llevar a una falta de visibilidad sobre problemas críticos en el sitio web. Esto podría afectar la seguridad general y la operatividad del negocio.

Vector de explotación

Suele explotarse mediante el envío de solicitudes maliciosas que omiten los controles de autorización, permitiendo a un atacante eliminar notificaciones sin los permisos adecuados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar los plugins afectados a la versión 1.2.5 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la gestión de plugins.

Señales de detección

Señales de riesgo incluyen la presencia de notificaciones eliminadas sin justificación, así como patrones de acceso inusuales en los registros de actividad del sitio.

Alcance afectado

Las versiones afectadas son todas las versiones anteriores a la 1.2.5 de los plugins de WPOnlineSupport relacionados con acordeones y deslizadores.