Whizzy <= 1.1.18 - Authenticated (Subscriber+) Insecure Direct Object Reference

Resumen ejecutivo

Se ha identificado una vulnerabilidad de referencia directa a objetos insegura (IDOR) en el plugin Whizzy, que afecta a las versiones hasta la 1.1.18. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior acceder a objetos no autorizados.

Contexto técnico

La vulnerabilidad se origina en la falta de control adecuado sobre los accesos a ciertos objetos dentro del plugin Whizzy. Esto permite que un usuario autenticado manipule las solicitudes para acceder a recursos que no deberían estar a su alcance, exponiendo así datos sensibles.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados acceder a información que podría comprometer la seguridad y la privacidad de otros usuarios. Esto podría derivar en pérdida de confianza por parte de los usuarios y posibles repercusiones legales.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo mediante la manipulación de las URL o parámetros de las solicitudes HTTP por parte de un usuario autenticado, lo que les permite acceder a datos que deberían estar restringidos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Whizzy a la versión 1.1.18 o superior. Además, se sugiere implementar controles adicionales de validación de acceso y revisar los permisos de los roles de usuario.

Señales de detección

Se pueden detectar intentos de explotación mediante logs que muestren accesos anómalos a objetos o recursos por parte de usuarios con roles inferiores a los permitidos. También es importante monitorizar patrones de acceso inusuales.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.1.18 del plugin Whizzy. Las instalaciones que utilicen estas versiones están en riesgo y deben ser actualizadas.