Academy LMS <= 1.9.16 - Missing Authorization (falta de autorizacion) - version 1.9.17

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Academy LMS, que afecta a las versiones hasta la 1.9.16. Esta falla puede permitir a usuarios no autorizados acceder a funcionalidades restringidas del plugin.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados, lo que permite a un atacante realizar acciones que deberían estar restringidas. Esto afecta a la superficie de ataque del plugin, ya que se pueden eludir las restricciones de acceso establecidas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes potenciales acceder a información sensible o realizar acciones no autorizadas, lo que podría comprometer la integridad del sistema y la confianza de los usuarios.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la manipulación de solicitudes para acceder a funcionalidades restringidas sin la debida autorización, aunque no se dispone de un PoC operativo específico.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Academy LMS a la versión 1.9.17 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la configuración del plugin.

Señales de detección

Señales de riesgo incluyen intentos de acceso no autorizado a funciones del plugin y registros de actividades inusuales que indiquen manipulación de solicitudes.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.9.17 del plugin Academy LMS.