WP Project Manager <= 2.6.15 - Authenticated (Subscriber+) Sensitive Information Exposure via Project Task List REST API

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WP Project Manager, que afecta a las versiones hasta 2.6.15. Esta vulnerabilidad permite la exposición de información sensible a través de la API REST de la lista de tareas del proyecto para usuarios autenticados con rol de suscriptor o superior.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las solicitudes a la API REST relacionadas con las tareas del proyecto. Al no implementar controles adecuados de acceso, los usuarios con permisos insuficientes pueden acceder a información que debería estar restringida.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles que podrían comprometer la privacidad de los usuarios y la integridad de los proyectos gestionados. Esto podría llevar a una pérdida de confianza por parte de los usuarios y repercusiones legales si se manejan datos personales.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a la API REST del plugin, aprovechando su autenticación como suscriptores o usuarios con roles superiores para acceder a información no autorizada.

Mitigación recomendada

Se recomienda actualizar el plugin WP Project Manager a la versión 2.6.16 o superior, donde se ha corregido esta vulnerabilidad. Además, se debe revisar la configuración de permisos de los usuarios y aplicar buenas prácticas de seguridad en la gestión de roles.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a la API REST del plugin por parte de usuarios con roles limitados y registros de solicitudes que intentan acceder a información sensible.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.6.16 del plugin WP Project Manager. Es crucial verificar las instalaciones para asegurar que estén actualizadas.