Tidio – Live Chat, Chatbots & Email Integration <= 5.2.0 - Sensitive Information Disclosure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información sensible en el plugin Tidio – Live Chat, Chatbots & Email Integration, que afecta a las versiones anteriores a la 5.3.0. Esta vulnerabilidad tiene una severidad media y un puntaje CVSS de 5.3.

Contexto técnico

El fallo se origina en el manejo inadecuado de la información sensible, lo que permite a un atacante potencial acceder a datos que no deberían ser divulgados. La superficie de ataque se centra en las interacciones con el plugin, específicamente en las configuraciones y respuestas del sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante acceder a información confidencial, comprometiendo la privacidad de los usuarios y la reputación de la empresa. Esto podría resultar en pérdidas económicas y legales, así como en la disminución de la confianza del cliente.

Vector de explotación

Generalmente, la vulnerabilidad se puede explotar mediante el envío de solicitudes maliciosas que aprovechan la falta de control sobre la información que se devuelve, permitiendo así la divulgación de datos sensibles.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Tidio a la versión 5.3.0 o superior. Además, es aconsejable revisar las configuraciones de seguridad y realizar auditorías periódicas de los plugins instalados.

Señales de detección

Las señales de riesgo incluyen la aparición de datos sensibles en las respuestas del plugin o registros de acceso inusuales que indiquen intentos de explotación. Supervisar los registros de actividad también puede ayudar a identificar accesos no autorizados.

Alcance afectado

Las versiones del plugin Tidio anteriores a la 5.3.0 están afectadas. Esto incluye todas las instalaciones que no han sido actualizadas desde la publicación de la versión segura.