KB Support – Customer Support Ticket & Helpdesk Plugin, Knowledge Base Plugin <= 1.7.4 - Unauthenticated Sensitive Information Exposure Through Unprotected Directory

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin KB Support, que permite la exposición no autenticada de información sensible a través de un directorio no protegido. Esta vulnerabilidad afecta a las versiones anteriores a la 1.7.4 y tiene un CVSS de 7.5, lo que indica un riesgo alto.

Contexto técnico

La vulnerabilidad se clasifica como un bypass de autenticación, lo que significa que un atacante puede acceder a información sensible sin necesidad de autenticarse. Esto se debe a la falta de protección adecuada en un directorio específico del plugin, lo que permite la exposición de datos que deberían estar restringidos.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la filtración de información crítica, afectando la confianza de los clientes y la integridad de los datos. Las empresas que utilizan este plugin podrían enfrentar repercusiones legales y de reputación si se divulga información sensible.

Vector de explotación

Los atacantes pueden acceder al directorio no protegido utilizando herramientas de escaneo automatizadas o manualmente, lo que les permite obtener información sensible sin necesidad de credenciales.

Mitigación recomendada

Se recomienda actualizar el plugin KB Support a la versión 1.7.4 o superior inmediatamente. Además, se sugiere revisar la configuración de permisos del servidor y aplicar medidas de seguridad adicionales para proteger los directorios críticos.

Señales de detección

Señales de riesgo incluyen accesos no autorizados a directorios específicos del plugin, así como la aparición de solicitudes inusuales en los registros del servidor que intenten acceder a información sensible.

Alcance afectado

Las versiones del plugin KB Support anteriores a la 1.7.4 están afectadas por esta vulnerabilidad, lo que incluye todas las instalaciones que no han sido actualizadas desde su lanzamiento.