Give <= 3.22.0 - Missing Authorization to Unauthenticated Arbitrary Earning Reports Disclosure via give_reports_earnings Function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin Give, permitiendo la divulgación no autorizada de informes de ingresos. Esta falla afecta a las versiones hasta la 3.22.0 y puede comprometer la privacidad de los datos financieros de los usuarios.

Contexto técnico

La vulnerabilidad radica en la función `give_reports_earnings`, que no implementa adecuadamente las restricciones de autorización, permitiendo que usuarios no autenticados accedan a informes de ingresos. Esto expone información sensible sin requerir credenciales.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes potenciales acceder a datos financieros que deberían estar protegidos. Esto podría resultar en una pérdida de confianza por parte de los usuarios y posibles repercusiones legales.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad realizando solicitudes a la función afectada sin necesidad de autenticación, lo que les permite obtener informes de ingresos de manera ilícita.

Mitigación recomendada

Se recomienda actualizar el plugin Give a la versión 3.22.1 o superior. Además, se sugiere revisar las configuraciones de acceso y aplicar controles de seguridad adicionales para proteger los informes de ingresos.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a la función de informes de ingresos desde direcciones IP no reconocidas o intentos de acceder a datos sin autenticación previa.

Alcance afectado

Las versiones del plugin Give hasta la 3.22.0 son vulnerables. La versión 3.22.1 y posteriores han corregido esta vulnerabilidad.