Booking X 1.0 - 1.1.2 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via export_now() Function

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Booking X, que permite la divulgación no autorizada de información sensible a usuarios no autenticados. Esta falla afecta a las versiones 1.0 a 1.1.2 y puede tener un impacto significativo en la seguridad de los sitios web afectados.

Contexto técnico

La vulnerabilidad se origina en la función export_now(), que no implementa adecuadamente las restricciones de autorización. Esto permite a los atacantes acceder a información sensible sin necesidad de autenticación previa, exponiendo datos que deberían ser protegidos.

Impacto potencial

El acceso no autorizado a información sensible puede comprometer la privacidad de los usuarios y la integridad del negocio. Esto puede resultar en pérdida de confianza por parte de los clientes y posibles repercusiones legales, además de afectar la reputación del sitio web.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes directas a la función export_now() sin necesidad de autenticarse, lo que les permite obtener información sensible almacenada en el sistema.

Mitigación recomendada

Actualizar el plugin Booking X a la versión 1.1.2 o superior es esencial para mitigar esta vulnerabilidad. Además, se recomienda revisar las configuraciones de seguridad y realizar auditorías periódicas para asegurar que no existan otras vulnerabilidades similares.

Señales de detección

Se deben monitorizar los registros de acceso en busca de solicitudes inusuales a la función export_now(), así como cualquier intento de acceso no autorizado a información sensible.

Alcance afectado

Las versiones afectadas de Booking X son desde la 1.0 hasta la 1.1.2. Es crucial que todos los usuarios de estas versiones actualicen a la versión corregida para evitar riesgos.