WP Hotel Booking <= 2.0.9.2 - Improper Authorization on Multiple REST API Routes

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización inadecuada en el plugin WP Hotel Booking, que afecta a múltiples rutas de la API REST. Esta vulnerabilidad, con una severidad media, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en varias rutas de la API REST del plugin WP Hotel Booking. Esto permite a usuarios no autenticados acceder a recursos que deberían estar restringidos, lo que amplía la superficie de ataque del sistema.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles y la posibilidad de que atacantes realicen acciones no autorizadas en el sistema. Esto podría afectar la integridad y disponibilidad del servicio, así como la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a las rutas de la API REST sin la debida autenticación, lo que les permite eludir las restricciones de acceso establecidas.

Mitigación recomendada

Se recomienda actualizar el plugin WP Hotel Booking a la versión 2.0.9.3 o posterior. Además, se sugiere revisar las configuraciones de autorización y aplicar medidas de hardening en la API REST.

Señales de detección

Señales de riesgo incluyen accesos no autorizados a rutas de la API REST y registros de actividades sospechosas relacionadas con el uso del plugin WP Hotel Booking.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.0.9.3 del plugin WP Hotel Booking.