Zephyr Project Manager <= 3.3.102 - Missing Authorization to Authenticated (Subscriber+) Status Updates

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Zephyr Project Manager, que afecta a versiones hasta la 3.3.102. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior realizar actualizaciones de estado sin la debida autorización.

Contexto técnico

El fallo se origina en la falta de controles de autorización adecuados en las funciones que gestionan las actualizaciones de estado del proyecto. Esto permite que usuarios no autorizados, que deberían tener restricciones en este tipo de acciones, puedan modificar el estado de un proyecto.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de los proyectos gestionados, ya que permite a usuarios no autorizados realizar cambios no deseados. Esto podría resultar en pérdida de datos, alteraciones en la gestión de proyectos y, en última instancia, afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad accediendo al sistema con credenciales de un usuario autenticado que tenga rol de suscriptor o superior, y posteriormente intentar realizar actualizaciones de estado en los proyectos sin la autorización necesaria.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 3.3.103 o superior, donde se ha corregido la vulnerabilidad. Además, es aconsejable revisar los roles y permisos asignados a los usuarios para asegurar que no tengan acceso no autorizado a funciones críticas.

Señales de detección

Se pueden observar intentos inusuales de actualización de estado por parte de usuarios con rol de suscriptor. También se deben monitorizar los registros de actividad del plugin para detectar cambios realizados sin la debida autorización.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Zephyr Project Manager hasta la 3.3.102. Las instalaciones que utilicen versiones anteriores a la 3.3.103 están en riesgo.