360 Javascript Viewer <= 1.7.11 - Missing Authorization

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin 360 Javascript Viewer, que afecta a las versiones hasta la 1.7.11. Esta vulnerabilidad, catalogada con una severidad media, puede permitir accesos no autorizados a funcionalidades del plugin.

Contexto técnico

El fallo se origina en la falta de controles de autorización adecuados, lo que permite a usuarios no autenticados o malintencionados realizar acciones que deberían estar restringidas. La superficie de ataque se centra en las funcionalidades del plugin que no verifican correctamente los permisos del usuario.

Impacto potencial

El impacto potencial incluye el acceso no autorizado a datos sensibles o funcionalidades del plugin, lo que podría comprometer la integridad y la seguridad del sitio web. Esto podría resultar en pérdidas financieras, daño a la reputación y problemas de cumplimiento normativo.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes directamente a las funciones del plugin que no requieren autenticación adecuada, lo que les permite eludir las restricciones de acceso.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.7.12 o superior. Además, es aconsejable revisar las configuraciones de permisos y realizar auditorías de seguridad periódicas en el sitio.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales a las funciones del plugin, intentos de acceso a áreas restringidas y cambios no autorizados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.7.12 del plugin 360 Javascript Viewer.