IDonate 2.0.0 - 2.1.9 - Insecure Direct Object Reference to Authenticated (Subscriber+) Arbitrary User Deletion via admin_post_donor_delete Function

Resumen ejecutivo

Se ha detectado una vulnerabilidad en el plugin IDonate, que permite la eliminación arbitraria de usuarios autenticados (nivel Suscriptor o superior) debido a una referencia directa a objetos inseguros. Este fallo afecta a las versiones 2.0.0 a 2.1.9 del plugin.

Contexto técnico

La vulnerabilidad se origina en la función admin_post_donor_delete, donde se permite la eliminación de usuarios sin la validación adecuada de permisos. Esto se clasifica como una referencia directa a objetos insegura (IDOR), que expone la funcionalidad a manipulaciones maliciosas.

Impacto potencial

El impacto potencial incluye la pérdida de datos críticos y la posibilidad de que un atacante elimine cuentas de usuario sin autorización, lo que podría comprometer la integridad del sistema y la confianza de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas a la función vulnerable, lo que les permite eliminar usuarios arbitrariamente, siempre que tengan acceso como suscriptores o superiores.

Mitigación recomendada

Se recomienda actualizar el plugin IDonate a la versión 2.1.10 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales en el manejo de solicitudes.

Señales de detección

Se pueden identificar intentos de explotación mediante registros de acceso que muestran patrones inusuales de eliminación de usuarios o solicitudes a la función admin_post_donor_delete sin la debida autorización.

Alcance afectado

Las versiones afectadas son desde la 2.0.0 hasta la 2.1.9 del plugin IDonate. Las instalaciones que utilicen estas versiones están en riesgo y deben ser actualizadas.