Stream <= 3.9.2 - Missing Authorization via load_alerts_settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Stream, que afecta a las versiones hasta la 3.9.2. Esta falla podría permitir a usuarios no autorizados acceder a configuraciones sensibles del plugin.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en la función 'load_alerts_settings' del plugin Stream. Esto permite que un atacante pueda acceder a configuraciones que deberían estar protegidas, aumentando la superficie de ataque del sitio web.

Impacto potencial

El impacto potencial incluye la exposición de configuraciones críticas del plugin, lo que podría comprometer la integridad y la confidencialidad de los datos del sitio. Esto podría llevar a un uso indebido de la información y a la alteración de la funcionalidad del plugin, afectando así la seguridad general del sitio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas que no son correctamente validadas, lo que les permite eludir los controles de acceso y acceder a configuraciones restringidas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Stream a la versión 3.9.3 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar prácticas de seguridad adicionales para proteger la configuración del plugin.

Señales de detección

Señales de riesgo pueden incluir intentos inusuales de acceso a configuraciones del plugin o registros de acceso que muestran solicitudes no autorizadas a la función 'load_alerts_settings'.

Alcance afectado

Las versiones del plugin Stream hasta la 3.9.2 son las que se ven afectadas por esta vulnerabilidad. Las instalaciones que no han actualizado a la versión 3.9.3 o superior están en riesgo.