Make, formerly Integromat Connector <= 1.5.2 - Authenticated (Subscriber+) Information Disclosure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin Make (anteriormente Integromat Connector) en versiones hasta la 1.5.2. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior acceder a información sensible.

Contexto técnico

La vulnerabilidad se presenta en el componente del plugin Make, donde se produce una divulgación no intencionada de información a usuarios autenticados. Esto puede permitir que un atacante con privilegios limitados acceda a datos que deberían estar restringidos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados acceder a información que podría comprometer la seguridad de la instalación y los datos de los usuarios. Esto podría llevar a un uso indebido de la información y afectar la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante el acceso a la interfaz del plugin por parte de un usuario autenticado que intenta acceder a información sensible que no debería ser visible para su nivel de acceso.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.5.3 o superior. Además, se sugiere revisar los permisos de usuario y realizar auditorías de seguridad periódicas para identificar posibles configuraciones inseguras.

Señales de detección

Señales de riesgo pueden incluir accesos inusuales a secciones del plugin por parte de usuarios con rol de suscriptor, así como logs que indiquen intentos de acceso a información restringida.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 1.5.3. Es crucial verificar las instalaciones que utilizan este plugin en sus sitios web.