Cliengo - Chatbot <= 3.0.2 - Missing Authorization to Authorized (Subscriber+) Chatbot Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Cliengo, afectando a las versiones hasta la 3.0.2. Esta falla permite que usuarios no autorizados realicen cambios en la configuración del chatbot, lo que podría comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada para la actualización de los ajustes del chatbot en el plugin Cliengo. Esto significa que cualquier usuario con un rol de suscriptor o superior puede modificar configuraciones críticas sin la debida validación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados alterar la configuración del chatbot, lo que podría llevar a la divulgación de información sensible o a la manipulación del comportamiento del chatbot, afectando la confianza de los usuarios en el sitio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad accediendo al área de administración del sitio como un usuario con rol de suscriptor o superior y realizando cambios en la configuración del plugin sin las debidas restricciones.

Mitigación recomendada

Actualizar el plugin Cliengo a la versión 3.0.3 o superior para mitigar esta vulnerabilidad. Además, se recomienda revisar los roles y permisos de los usuarios para asegurarse de que solo los usuarios autorizados tengan acceso a la configuración del plugin.

Señales de detección

Señales de riesgo incluyen cambios inesperados en la configuración del chatbot o accesos no autorizados a la sección de administración del plugin por parte de usuarios con roles inferiores a los permitidos.

Alcance afectado

Las versiones del plugin Cliengo hasta la 3.0.2 son las afectadas por esta vulnerabilidad. La versión 3.0.3 y posteriores han sido corregidas.