Homey - Booking and Rentals WordPress Theme <= 2.4.4 - Insecure Direct Object Reference to Authenticated (Subscriber+) Arbitrary User Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el tema Homey para WordPress, que permite la eliminación arbitraria de usuarios autenticados con rol de suscriptor o superior. Esta vulnerabilidad afecta a las versiones hasta la 2.4.4 y fue corregida en la versión 2.4.5.

Contexto técnico

La vulnerabilidad se origina en una referencia directa a objetos inseguros, lo que permite a un atacante autenticado manipular solicitudes para eliminar usuarios sin la debida autorización. Esto se traduce en una superficie de ataque que puede ser explotada por cualquier usuario con privilegios mínimos.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que permite la eliminación no autorizada de cuentas de usuario, lo que puede desestabilizar la gestión de usuarios y afectar la confianza en la plataforma. Esto podría resultar en pérdidas económicas y daño a la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas para eliminar cuentas de usuario, aprovechando su acceso como suscriptores o roles superiores, sin necesidad de permisos adicionales.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el tema Homey a la versión 2.4.5 o superior. Además, se sugiere revisar los permisos de los roles de usuario y aplicar medidas de seguridad adicionales, como la validación de solicitudes.

Señales de detección

Señales de riesgo incluyen intentos inusuales de eliminación de usuarios en los registros de actividad y cambios inesperados en la lista de usuarios. Monitorear estas actividades puede ayudar a detectar intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las versiones del tema Homey hasta la 2.4.4. Los usuarios que utilizan estas versiones están en riesgo y deben actualizarse a la versión corregida.