WP Project Manager <= 2.6.14 - Missing Authorization to Project Milestone and Task Creation/Deletion en Wedevs Project Manager (falta de autorizacion) - version 2.6.15

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin WP Project Manager, que permite la creación y eliminación de hitos y tareas sin la debida autorización. Esta falla afecta a las versiones hasta la 2.6.14 y ha sido corregida en la versión 2.6.15.

Contexto técnico

La vulnerabilidad se origina por la falta de controles de autorización adecuados en el proceso de creación y eliminación de hitos y tareas dentro del plugin. Esto permite a usuarios no autorizados realizar acciones que deberían estar restringidas, lo que expone el sistema a manipulaciones no deseadas.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios malintencionados creen o eliminen tareas y hitos, lo que puede comprometer la integridad de los proyectos gestionados. Esto podría resultar en pérdidas de datos y alteraciones en la gestión de proyectos, afectando la operativa del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza a través de la interfaz del plugin, donde un atacante puede intentar realizar acciones de creación o eliminación sin tener los permisos adecuados, aprovechando la falta de validación en el backend.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP Project Manager a la versión 2.6.15 o superior. Además, se deben revisar los permisos de usuario y aplicar buenas prácticas de seguridad, como el uso de roles y capacidades adecuadas.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusual en la creación o eliminación de tareas y hitos, así como cambios no autorizados en la gestión de proyectos que no correspondan a las acciones de usuarios legítimos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.6.15 del plugin WP Project Manager. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar la actualización correspondiente.