SP Project & Document Manager <= 4.67 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrary User Password Change

Resumen ejecutivo

Se ha identificado una vulnerabilidad de referencia directa a objetos insegura (IDOR) en el plugin SP Project & Document Manager, que afecta a versiones hasta la 4.67. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior cambiar contraseñas de otros usuarios arbitrariamente.

Contexto técnico

La vulnerabilidad se origina en la falta de control de acceso adecuado al permitir que los usuarios autenticados manipulen solicitudes para cambiar contraseñas de otros usuarios. Esto se traduce en un acceso no autorizado a información sensible, facilitando la explotación del fallo.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante cambie contraseñas de otros usuarios, lo que puede comprometer cuentas y datos sensibles. Esto podría afectar la confianza de los usuarios y la integridad de la plataforma, además de posibles repercusiones legales.

Vector de explotación

La explotación se realiza mediante solicitudes manipuladas que apuntan a la función de cambio de contraseña, permitiendo a un atacante sustituir el ID del usuario objetivo por su propio ID en una solicitud legítima.

Mitigación recomendada

Actualizar el plugin SP Project & Document Manager a la versión 4.68 o superior. Implementar controles de acceso adecuados para las funciones críticas, asegurando que solo los usuarios autorizados puedan cambiar contraseñas.

Señales de detección

Señales de riesgo incluyen intentos de cambio de contraseña por usuarios que no son administradores, así como registros de actividad inusual en la gestión de cuentas de usuario.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin SP Project & Document Manager hasta la 4.67. Se recomienda verificar la instalación en todos los entornos que utilicen este plugin.