AtomChat <= 1.1.4 - Missing Authorization via credits REST API Endpoint

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin AtomChat, que afecta a las versiones hasta la 1.1.4. Esta falla permite el acceso no autorizado a través del endpoint REST API de créditos.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización adecuados en el endpoint REST API de créditos del plugin AtomChat. Esto permite que usuarios no autenticados realicen acciones que deberían estar restringidas, afectando la integridad y confidencialidad de los datos.

Impacto potencial

El impacto potencial incluye acceso no autorizado a información sensible y la posibilidad de que un atacante manipule datos relacionados con los créditos de los usuarios. Esto podría resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo mediante el envío de solicitudes HTTP maliciosas al endpoint REST API, sin necesidad de autenticación previa, lo que facilita el acceso a funciones restringidas.

Mitigación recomendada

Se recomienda actualizar el plugin AtomChat a la versión 1.1.5 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable revisar la configuración de permisos y aplicar prácticas de seguridad adicionales en la API.

Señales de detección

Se deben monitorizar los registros de acceso para detectar solicitudes inusuales al endpoint REST API de créditos, así como implementar alertas para accesos no autorizados.

Alcance afectado

Las versiones del plugin AtomChat hasta la 1.1.4 son las afectadas. Se debe verificar la instalación actual para asegurar que no se está utilizando una versión vulnerable.