Directorist <= 7.4.2.1 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrary User Password Change

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Directorist, que permite a usuarios autenticados cambiar la contraseña de cualquier otro usuario. Esta falla afecta a versiones hasta la 7.4.2.1 y ha sido catalogada con un alto nivel de severidad.

Contexto técnico

La vulnerabilidad se clasifica como una referencia a objetos directos insegura (IDOR), lo que permite a los usuarios con rol de suscriptor o superior acceder a funciones que no deberían estar disponibles para ellos. Esto se traduce en la posibilidad de modificar contraseñas de otros usuarios sin autorización adecuada.

Impacto potencial

El impacto de esta vulnerabilidad podría ser significativo, ya que permite a un atacante autenticado comprometer cuentas de otros usuarios, lo que podría llevar a un acceso no autorizado a información sensible y a la manipulación de datos dentro del sistema.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que apuntan a la función de cambio de contraseña, utilizando credenciales de usuario válidas para acceder a la funcionalidad restringida.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Directorist a la versión 7.4.2.2 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar prácticas de seguridad adicionales, como la implementación de autenticación de dos factores.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de registros de acceso y cambios inusuales en las contraseñas de usuarios, así como solicitudes HTTP que intenten acceder a funciones restringidas sin la debida autorización.

Alcance afectado

Las versiones del plugin Directorist hasta la 7.4.2.1 son vulnerables, lo que incluye todas las instalaciones que no han sido actualizadas desde la publicación de la vulnerabilidad el 21 de noviembre de 2022.