Hercules Core <= 7.4 - Authenticated (Subscriber+) Server-Side Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin Hercules Core, afectando a versiones anteriores a la 7.4. Esta vulnerabilidad puede ser explotada por usuarios autenticados con permisos de suscriptor o superiores.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las solicitudes del servidor, permitiendo a un atacante autenticado enviar peticiones maliciosas a recursos internos o externos, lo que puede comprometer la seguridad del servidor.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante acceder a información sensible o ejecutar acciones no autorizadas en el servidor, lo que podría resultar en una pérdida de datos o en la interrupción de servicios, afectando así la reputación y operatividad del negocio.

Vector de explotación

Generalmente, la vulnerabilidad se explota mediante la manipulación de parámetros en las solicitudes realizadas por el plugin, aprovechando la autenticación para enviar peticiones a direcciones no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Hercules Core a la versión 7.4 o superior. Además, se sugiere revisar y restringir los permisos de los usuarios autenticados y aplicar medidas de seguridad adicionales en la configuración del servidor.

Señales de detección

Señales que pueden indicar riesgo incluyen registros de solicitudes inusuales desde cuentas de usuario autenticadas y accesos a recursos internos que no deberían ser accesibles para los suscriptores.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin Hercules Core anteriores a la 7.4, por lo que las instalaciones que utilicen estas versiones están en riesgo.