BuddyPress <= 7.2.0 - Authorization Bypass to Private Message Disclosure

Resumen ejecutivo

Se ha identificado una vulnerabilidad en BuddyPress, específicamente en versiones hasta la 7.2.0, que permite la elusión de autorizaciones y la divulgación de mensajes privados. Esta vulnerabilidad tiene una severidad media con un CVSS de 6.5.

Contexto técnico

El fallo se origina en un error de validación de permisos que permite a usuarios no autorizados acceder a mensajes privados. La superficie de ataque se centra en las funcionalidades de mensajería del plugin, donde las restricciones de acceso no se aplican correctamente.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante acceder a información sensible, como mensajes privados de otros usuarios, comprometiendo la privacidad y la confianza en la plataforma. Esto podría resultar en daños reputacionales y pérdida de usuarios.

Vector de explotación

Los atacantes pueden intentar acceder a los mensajes privados manipulando las solicitudes a la API del plugin, aprovechando la falta de controles de autorización adecuados.

Mitigación recomendada

Se recomienda actualizar BuddyPress a la versión 7.2.1 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar las configuraciones de permisos y realizar auditorías de seguridad periódicas.

Señales de detección

Señales de posible explotación incluyen accesos no autorizados a mensajes privados y registros de actividad inusual en la funcionalidad de mensajería del plugin.

Alcance afectado

Las versiones de BuddyPress hasta la 7.2.0 son vulnerables. La actualización a la versión 7.2.1 soluciona el problema.