Passwords Manager <= 1.4.8 - Missing Authorization to Authenticated (Subscriber+) Add Password + Update Encryption Key

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Passwords Manager, que afecta a las versiones hasta la 1.4.8. Este fallo permite a usuarios autenticados con rol de suscriptor o superior añadir contraseñas y actualizar la clave de cifrado sin la debida autorización.

Contexto técnico

La vulnerabilidad se origina en una falta de control de acceso en las funciones que gestionan la adición de contraseñas y la actualización de la clave de cifrado. Esto permite a usuarios que no deberían tener privilegios para realizar estas acciones, llevarlas a cabo, lo que puede comprometer la seguridad de los datos almacenados.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios no autorizados accedan y modifiquen contraseñas, lo que podría llevar a brechas de seguridad significativas y a la pérdida de confianza por parte de los usuarios. Esto puede afectar gravemente la reputación del negocio y su operativa.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse a través de solicitudes maliciosas enviadas por un usuario autenticado que intenta acceder a las funciones vulnerables del plugin sin los permisos adecuados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Passwords Manager a la versión 1.5.1 o superior. Además, es aconsejable revisar los permisos de los usuarios y aplicar controles de acceso más estrictos en las funcionalidades críticas del plugin.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de actividad inusuales que muestren accesos a funciones de gestión de contraseñas por parte de usuarios con rol de suscriptor o inferior, así como cambios en las contraseñas sin justificación.

Alcance afectado

Las versiones del plugin Passwords Manager hasta la 1.4.8 son las afectadas. Cualquier instalación que utilice estas versiones está en riesgo hasta que se aplique la actualización correspondiente.