JS Help Desk <= 2.7.1 - Missing Authorization to Plugin Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin JS Help Desk hasta la versión 2.7.1, que permite la actualización no autorizada de la configuración del plugin. Esta vulnerabilidad, catalogada con un CVSS de 9.1, puede comprometer la seguridad del sitio web afectado.

Contexto técnico

El fallo se origina en la falta de controles de autorización adecuados en la actualización de la configuración del plugin. Esto permite a un atacante, sin las credenciales adecuadas, modificar configuraciones sensibles del plugin, lo que podría alterar su funcionamiento y la seguridad del sitio.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que puede permitir a un atacante no solo modificar configuraciones del plugin, sino también potencialmente comprometer la integridad del sitio web y acceder a datos sensibles. Esto podría resultar en pérdidas financieras, daños a la reputación y problemas de cumplimiento normativo.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando peticiones maliciosas a las rutas de actualización del plugin, sin necesidad de autenticación previa, lo que les permite realizar cambios no autorizados.

Mitigación recomendada

Se recomienda actualizar el plugin JS Help Desk a la versión 2.7.2 o superior para corregir esta vulnerabilidad. Además, se aconseja revisar las configuraciones de seguridad del sitio y aplicar medidas de hardening adicionales, como la implementación de controles de acceso más estrictos.

Señales de detección

Señales de riesgo incluyen cambios inesperados en la configuración del plugin, accesos no autorizados a las secciones administrativas del sitio y logs de actividad inusuales que indiquen intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin JS Help Desk hasta la 2.7.1. La vulnerabilidad fue corregida en la versión 2.7.2, publicada el 27 de enero de 2023.