AccessPress Themes and Plugin <= Various Versions - Missing Authorization to Arbitrary Plugin Deactivation/Activation

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el tema EightLaw Lite, que permite la desactivación o activación arbitraria de plugins sin la debida autorización. Esta situación puede ser explotada por atacantes para comprometer la seguridad del sitio web.

Contexto técnico

El fallo se origina en la falta de control de acceso en las funciones que gestionan la activación y desactivación de plugins. Esto permite a usuarios no autorizados ejecutar acciones que deberían estar restringidas, afectando la integridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la desactivación de plugins esenciales, alterando la funcionalidad del sitio y exponiéndolo a otros riesgos de seguridad. Esto puede resultar en pérdida de datos, interrupciones en el servicio y daño a la reputación de la empresa.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas al servidor, manipulando las funciones de activación y desactivación de plugins sin autorización previa.

Mitigación recomendada

Actualizar el tema EightLaw Lite a la versión 2.1.6 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar medidas de seguridad adicionales como la limitación de acceso a la administración del sitio.

Señales de detección

Monitorizar registros de acceso y cambios en la activación de plugins, así como alertas sobre intentos de acceso no autorizados a funciones administrativas.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del tema EightLaw Lite anteriores a la 2.1.6, lanzada el 11 de enero de 2022.