360 Javascript Viewer <= 1.7.12 - Missing Authorization to Plugin Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo medio en el plugin 360 Javascript Viewer, que permite la falta de autorización en la actualización de la configuración del plugin. Esta vulnerabilidad afecta a las versiones hasta la 1.7.12 y ha sido corregida en la versión 1.7.13.

Contexto técnico

El fallo se origina en la ausencia de controles de autorización adecuados al modificar la configuración del plugin. Esto permite que usuarios no autorizados puedan realizar cambios en los ajustes del plugin, comprometiendo su integridad y funcionamiento.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante no autorizado modificar configuraciones críticas del plugin, lo que podría derivar en un comportamiento inesperado del sitio web, pérdida de datos o incluso la posibilidad de ejecutar código malicioso.

Vector de explotación

Generalmente, los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que el plugin no valida correctamente, lo que les permite realizar cambios en la configuración sin los permisos necesarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.7.13 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la gestión de plugins.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en la configuración del plugin o actividad inusual en el acceso a las configuraciones del mismo.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.7.13 del plugin 360 Javascript Viewer.