IDonate 2.0.0 - 2.1.9 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via admin_donor_profile_view Function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información sensible en el plugin IDonate, que afecta a las versiones 2.0.0 a 2.1.9. Esta falla permite a usuarios autenticados con rol de suscriptor o superior acceder a información confidencial a través de la función admin_donor_profile_view.

Contexto técnico

La vulnerabilidad se encuentra en la función admin_donor_profile_view del plugin IDonate, donde no se implementan adecuadamente las comprobaciones de autorización. Esto permite que usuarios no autorizados accedan a datos sensibles que deberían estar protegidos, lo que representa una brecha en la seguridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la divulgación no intencionada de información sensible, comprometiendo la privacidad de los donantes y afectando la reputación de la organización. Esto podría tener repercusiones legales y financieras si se produce una filtración de datos.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad accediendo a la función admin_donor_profile_view mediante una solicitud autenticada, lo que les permite obtener información sensible sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin IDonate a la versión 2.1.10 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar prácticas de hardening, como la limitación de roles y el uso de plugins de seguridad para reforzar el acceso.

Señales de detección

Señales de posible explotación incluyen accesos no autorizados a la función admin_donor_profile_view y registros de actividad inusuales de usuarios con rol de suscriptor que intentan acceder a datos sensibles.

Alcance afectado

Las versiones afectadas del plugin IDonate son desde la 2.0.0 hasta la 2.1.9. Se recomienda a todos los usuarios de estas versiones que realicen la actualización correspondiente.