SP Project & Document Manager <= 4.71 - Insecure Direct Object Reference to Information Exposure en SP Client Document Manager (Insecure Direct Object Reference (IDOR))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin SP Project & Document Manager, que afecta a las versiones anteriores a la 4.71. Esta falla permite la exposición no autorizada de información sensible.

Contexto técnico

La vulnerabilidad se produce debido a una referencia directa e insegura a objetos, lo que permite a un atacante acceder a información que debería estar restringida. La superficie de ataque incluye cualquier usuario que tenga acceso al plugin y pueda manipular las solicitudes para obtener datos no autorizados.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información sensible, lo que podría comprometer la seguridad de los datos del negocio y afectar la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad manipulando las solicitudes HTTP para acceder a recursos que no están debidamente protegidos, lo que les permite obtener información confidencial.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.71 o superior. Además, se sugiere revisar las configuraciones de acceso y aplicar controles adicionales para garantizar que solo los usuarios autorizados tengan acceso a la información sensible.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen accesos no autorizados a documentos o información sensible en los registros de acceso, así como cambios inusuales en las solicitudes HTTP dirigidas al plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.71 del plugin SP Project & Document Manager. Se recomienda a los administradores de sitios que utilicen este plugin realizar una revisión inmediata.