Fuente base de datos: Wordfence Intelligence

WP Project Manager <= 2.6.15 - Authenticated (Subscriber+) Sensitive Information Exposure via Project Task List REST API en Wedevs Project Manager (vulnerabilidad) - version 2.6.16

PLUGIN MEDIUM CVE-2024-10548

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WP Project Manager, que afecta a las versiones hasta 2.6.15. Esta vulnerabilidad permite la exposición de información sensible a través de la API REST de la lista de tareas del proyecto para usuarios autenticados con rol de suscriptor o superior.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las solicitudes a la API REST relacionadas con las tareas del proyecto. Al no implementar controles adecuados de acceso, los usuarios con permisos insuficientes pueden acceder a información que debería estar restringida.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles que podrían comprometer la privacidad de los usuarios y la integridad de los proyectos gestionados. Esto podría llevar a una pérdida de confianza por parte de los usuarios y repercusiones legales si se manejan datos personales.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a la API REST del plugin, aprovechando su autenticación como suscriptores o usuarios con roles superiores para acceder a información no autorizada.

Mitigación recomendada

Se recomienda actualizar el plugin WP Project Manager a la versión 2.6.16 o superior, donde se ha corregido esta vulnerabilidad. Además, se debe revisar la configuración de permisos de los usuarios y aplicar buenas prácticas de seguridad en la gestión de roles.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a la API REST del plugin por parte de usuarios con roles limitados y registros de solicitudes que intentan acceder a información sensible.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.6.16 del plugin WP Project Manager. Es crucial verificar las instalaciones para asegurar que estén actualizadas.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wedevs-project-manager