Private Google Calendars <= 20250811 - Missing Authorization to Authenticated (Subscriber+) Settings Reset

Resumen ejecutivo

Se ha identificado una vulnerabilidad de nivel medio en el plugin 'Private Google Calendars' que permite la reinicialización de configuraciones sin la autorización adecuada para usuarios autenticados. Esta falla afecta a las versiones hasta el 11 de agosto de 2025.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización en las configuraciones de reinicio del plugin. Esto permite que usuarios con rol de suscriptor o superior puedan modificar ajustes que deberían estar restringidos, lo que expone la superficie de ataque a usuarios no privilegiados.

Impacto potencial

El impacto puede ser significativo, ya que permite a usuarios no autorizados alterar configuraciones críticas del plugin, lo que podría comprometer la integridad y disponibilidad de los calendarios compartidos. Esto podría resultar en pérdida de datos o en la exposición de información sensible.

Vector de explotación

La explotación de esta vulnerabilidad se puede realizar mediante la manipulación de solicitudes a la interfaz del plugin, donde un usuario autenticado puede intentar acceder a las funciones de reinicio de configuraciones sin la debida autorización.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 20251128, que corrige esta vulnerabilidad. Además, se sugiere revisar los roles y permisos de los usuarios para limitar el acceso a configuraciones críticas.

Señales de detección

Señales de riesgo incluyen intentos de acceso no autorizado a las configuraciones del plugin o cambios inesperados en las configuraciones de los calendarios. Monitorear registros de actividad puede ayudar a identificar accesos sospechosos.

Alcance afectado

Las versiones del plugin 'Private Google Calendars' anteriores a la 20251128 están afectadas por esta vulnerabilidad.