FULL - Customer <= 2.2.3 - Authenticated(Subscriber+) Information Disclosure via Health Check

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin FULL - Customer, que afecta a versiones hasta la 2.2.3. Esta falla permite a usuarios autenticados con rol de suscriptor o superior acceder a información sensible a través de la función de verificación de salud del plugin.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las solicitudes de información en su funcionalidad de verificación de salud. Los usuarios autenticados pueden, de forma no intencionada, acceder a datos que no deberían estar disponibles para su rol, lo que expone información sensible.

Impacto potencial

El acceso no autorizado a información sensible puede comprometer la privacidad de los usuarios y la integridad de los datos del negocio. Esto podría traducirse en una pérdida de confianza por parte de los clientes y posibles repercusiones legales si se expone información personal.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a la funcionalidad de verificación de salud del plugin después de autenticarse como suscriptores, lo que les permite obtener información que debería estar restringida.

Mitigación recomendada

Actualizar el plugin FULL - Customer a la versión 2.3 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y realizar auditorías de seguridad periódicas para prevenir accesos no autorizados.

Señales de detección

Señales de riesgo incluyen accesos inusuales a la funcionalidad de verificación de salud por parte de usuarios con rol de suscriptor, así como logs que muestren intentos de acceso a información sensible.

Alcance afectado

Las versiones del plugin FULL - Customer hasta la 2.2.3 están afectadas. Se recomienda a todos los usuarios de este plugin verificar su versión y proceder a la actualización.