Online Booking & Scheduling Calendar for WordPress by vcita <= 4.2.10 - Missing Authorization to Account Logout

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo medio en el plugin 'Online Booking & Scheduling Calendar for WordPress by vcita' en versiones anteriores a la 4.3.0. Esta falla permite la desconexión de cuentas sin la autorización adecuada.

Contexto técnico

La vulnerabilidad se debe a la falta de controles de autorización en la funcionalidad de cierre de sesión del plugin, lo que permite que un atacante pueda cerrar la sesión de un usuario sin su consentimiento. Esto se traduce en un riesgo para la integridad de las cuentas de usuario.

Impacto potencial

El impacto potencial incluye el acceso no autorizado a la sesión de los usuarios, lo que podría resultar en la exposición de datos sensibles y la posibilidad de que un atacante tome el control de la cuenta del usuario afectado, comprometiendo así la seguridad general del sitio.

Vector de explotación

La explotación de esta vulnerabilidad podría realizarse mediante el envío de solicitudes maliciosas que no verifiquen correctamente la autorización del usuario para cerrar sesión.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 4.3.0 o superior, que corrige esta vulnerabilidad. Además, se sugiere revisar las configuraciones de seguridad del sitio y aplicar medidas de hardening adicionales.

Señales de detección

Señales de riesgo pueden incluir intentos inusuales de cierre de sesión en cuentas de usuario, así como reportes de usuarios que no han solicitado cerrar su sesión.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.3.0 del plugin 'Online Booking & Scheduling Calendar for WordPress by vcita'.