Custom Field For WP Job Manager <= 1.2 - Insecure Direct Object Reference to Sensitive Information Exposure via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin 'Custom Field For WP Job Manager' en versiones hasta la 1.2, que permite la exposición de información sensible a través de shortcodes. Esta vulnerabilidad tiene una severidad media con un CVSS de 4.3.

Contexto técnico

El fallo se origina en una referencia directa a objetos inseguros, lo que permite a un atacante acceder a información sensible al manipular parámetros de shortcode. La superficie de ataque incluye cualquier instalación del plugin afectado que utilice estas funciones sin las debidas restricciones de acceso.

Impacto potencial

La explotación de esta vulnerabilidad podría llevar a la exposición no autorizada de datos sensibles, comprometiendo la privacidad de los usuarios y la integridad del negocio. Esto podría resultar en daños a la reputación y posibles sanciones legales.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad manipulando los parámetros de los shortcodes utilizados en el plugin para acceder a información que debería ser restringida.

Mitigación recomendada

Actualizar el plugin 'Custom Field For WP Job Manager' a la versión 1.3 o superior. Además, revisar la configuración de permisos y aplicar controles de acceso adecuados a los shortcodes utilizados.

Señales de detección

Señales de alerta incluyen accesos inusuales a datos sensibles a través de shortcodes y registros de errores que indican intentos de manipulación de parámetros.

Alcance afectado

Las versiones del plugin hasta la 1.2 están afectadas. Las instalaciones que no han actualizado a la versión 1.3 o superior corren el riesgo de explotación.