MStore API – Create Native Android & iOS Apps On The Cloud <= 4.15.3 - Unauthorized User Registration

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin MStore API, que permite el registro no autorizado de usuarios en versiones anteriores a la 4.15.4. Esta vulnerabilidad, con un CVSS de 7.3, puede comprometer la seguridad de las aplicaciones móviles generadas a través de este plugin.

Contexto técnico

La vulnerabilidad se origina en la falta de control adecuado sobre el registro de usuarios, permitiendo a atacantes crear cuentas sin autorización previa. Esto puede ser explotado a través de solicitudes maliciosas que evaden las restricciones de acceso.

Impacto potencial

El impacto potencial incluye la creación de cuentas fraudulentas, lo que podría llevar a un uso indebido de la plataforma y a la exposición de datos sensibles. Esto podría afectar la reputación de la empresa y la confianza de los usuarios finales.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes directas al endpoint de registro del plugin, sin necesidad de autenticación previa, lo que les permite registrar usuarios de forma ilícita.

Mitigación recomendada

Actualizar el plugin MStore API a la versión 4.15.4 o posterior. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de entradas y la limitación de tasas de registro.

Señales de detección

Señales de riesgo incluyen un aumento inusual en el número de registros de usuarios y registros desde direcciones IP sospechosas o no habituales.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.15.4 del plugin MStore API.