BizPrint <= 4.3.39 - Missing Authorization via showTemplatePreview()

Resumen ejecutivo

La vulnerabilidad identificada en el plugin BizPrint hasta la versión 4.3.39 permite la falta de autorización en la función showTemplatePreview(). Esto podría comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en la ausencia de controles de autorización adecuados en la función showTemplatePreview() del plugin BizPrint. Esto permite que usuarios no autorizados accedan a funcionalidades que deberían estar restringidas, aumentando la superficie de ataque.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, con un CVSS de 5.3. La explotación de esta falla podría permitir a atacantes obtener acceso no autorizado a información sensible o funcionalidades críticas, lo que podría afectar la integridad y la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes directas a la función vulnerable sin la debida autorización, lo que les permite acceder a las vistas previas de las plantillas sin restricciones.

Mitigación recomendada

Se recomienda actualizar el plugin BizPrint a la versión 4.5.4 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar las configuraciones de autorización y aplicar prácticas de hardening en la gestión de plugins.

Señales de detección

Señales de posible explotación incluyen accesos no autorizados a funciones del plugin y registros de actividad inusual en las peticiones a la función showTemplatePreview().

Alcance afectado

Las versiones del plugin BizPrint hasta la 4.3.39 son las afectadas. Las instalaciones que utilicen estas versiones deben ser consideradas en riesgo hasta su actualización.