WP FEvents Book <= 0.46 - Authenticated (Subscriber+) Insecure Direct Object Reference to Booking Manipulation

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin WP FEvents Book, que afecta a las versiones hasta la 0.46. Este fallo permite a usuarios autenticados con rol de suscriptor o superior manipular reservas de manera no autorizada.

Contexto técnico

La vulnerabilidad se basa en una referencia directa a objetos insegura que permite a los usuarios acceder y modificar datos de reservas que no deberían estar a su alcance. Esto se debe a la falta de validación adecuada de las solicitudes realizadas por los usuarios autenticados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante modificar reservas de eventos, lo que podría llevar a pérdidas económicas y a la desconfianza de los usuarios en la plataforma. Además, podría comprometer la integridad de los datos gestionados por la aplicación.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a la aplicación, lo que les permite acceder a recursos que no están autorizados para su rol, como la modificación de reservas ajenas.

Mitigación recomendada

Se recomienda actualizar el plugin WP FEvents Book a la versión 0.47 o superior, donde esta vulnerabilidad ha sido corregida. Además, se sugiere implementar controles de acceso más estrictos y validar adecuadamente las solicitudes de los usuarios.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intentan modificar reservas o acceder a datos de otros usuarios sin permisos adecuados. Monitorizar cambios en las reservas también puede ser indicativo de actividad maliciosa.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 0.47 del plugin WP FEvents Book. Cualquier instalación que utilice estas versiones es vulnerable a esta explotación.