Masteriyo - LMS <= 1.11.4 - Authenticated (Student+) Insecure Direct Object Reference

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Masteriyo - LMS, que afecta a las versiones hasta la 1.11.4. Esta vulnerabilidad permite a usuarios autenticados acceder a objetos que no deberían, lo que puede comprometer la seguridad de la aplicación.

Contexto técnico

La vulnerabilidad se manifiesta a través de referencias directas a objetos inseguros, permitiendo a los estudiantes autenticados manipular solicitudes para acceder a datos sensibles de otros usuarios. Esto se debe a una falta de controles adecuados en la validación de permisos.

Impacto potencial

El impacto puede ser significativo, ya que permite a un usuario autenticado acceder a información que no le pertenece, lo cual podría resultar en la exposición de datos sensibles y afectar la confianza en la plataforma educativa.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza mediante la modificación de parámetros en las solicitudes HTTP, permitiendo a un atacante acceder a recursos no autorizados sin necesidad de realizar un ataque sofisticado.

Mitigación recomendada

Actualizar el plugin Masteriyo - LMS a la versión 1.11.5 o posterior. Además, se recomienda implementar controles de acceso más estrictos y revisar las configuraciones de permisos de los usuarios para mitigar riesgos futuros.

Señales de detección

Señales de riesgo incluyen accesos inusuales a datos de otros usuarios por parte de estudiantes, así como registros de errores relacionados con accesos no autorizados a objetos específicos.

Alcance afectado

Las versiones afectadas del plugin Masteriyo - LMS son todas las versiones hasta la 1.11.4. Las instalaciones que utilicen estas versiones están en riesgo hasta que se realice la actualización.