SP Project & Document Manager <= 4.71 - Insecure Direct Object Reference to Information Exposure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin SP Project & Document Manager, que afecta a las versiones anteriores a la 4.71. Esta falla permite la exposición no autorizada de información sensible.

Contexto técnico

La vulnerabilidad se produce debido a una referencia directa e insegura a objetos, lo que permite a un atacante acceder a información que debería estar restringida. La superficie de ataque incluye cualquier usuario que tenga acceso al plugin y pueda manipular las solicitudes para obtener datos no autorizados.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información sensible, lo que podría comprometer la seguridad de los datos del negocio y afectar la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad manipulando las solicitudes HTTP para acceder a recursos que no están debidamente protegidos, lo que les permite obtener información confidencial.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.71 o superior. Además, se sugiere revisar las configuraciones de acceso y aplicar controles adicionales para garantizar que solo los usuarios autorizados tengan acceso a la información sensible.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen accesos no autorizados a documentos o información sensible en los registros de acceso, así como cambios inusuales en las solicitudes HTTP dirigidas al plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.71 del plugin SP Project & Document Manager. Se recomienda a los administradores de sitios que utilicen este plugin realizar una revisión inmediata.