Dynamics 365 Integration <= 1.3.12 - Missing Authorization via wp_ajax_wpcrm_log & wp_ajax_wpcrm_log_verbosity

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Dynamics 365 Integration, que afecta a las versiones hasta la 1.3.12. Esta falla podría permitir el acceso no autorizado a funciones críticas del plugin.

Contexto técnico

La vulnerabilidad se encuentra en las funciones wp_ajax_wpcrm_log y wp_ajax_wpcrm_log_verbosity, que no implementan correctamente los controles de autorización. Esto permite que usuarios no autenticados puedan ejecutar acciones que deberían estar restringidas.

Impacto potencial

El impacto potencial incluye el acceso no autorizado a registros y datos sensibles, lo que podría comprometer la integridad y la confidencialidad de la información manejada por el plugin, afectando así la confianza del cliente y la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes AJAX maliciosas a las funciones afectadas, lo que les permite eludir los controles de acceso establecidos.

Mitigación recomendada

Actualizar el plugin Dynamics 365 Integration a la versión 1.3.13 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar prácticas de seguridad adecuadas en la configuración del sitio.

Señales de detección

Señales de riesgo incluyen un aumento en las solicitudes AJAX a las funciones wpcrm_log y wpcrm_log_verbosity desde direcciones IP no reconocidas o no autenticadas.

Alcance afectado

Las versiones del plugin Dynamics 365 Integration hasta la 1.3.12 son las afectadas. No se reportan datos sobre versiones anteriores o posteriores a la 1.3.13.