OneSignal – Web Push Notifications <= 3.6.1 - Missing Authorization to Unauthenticated Plugin Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin OneSignal para notificaciones push web, que afecta a versiones hasta la 3.6.1. Esta falla permite a usuarios no autenticados modificar configuraciones del plugin, lo que podría comprometer la seguridad del sitio.

Contexto técnico

El fallo se origina en la falta de controles adecuados de autorización en las configuraciones del plugin. Esto permite que cualquier usuario, sin necesidad de autenticación previa, acceda y modifique ajustes que deberían estar restringidos a administradores.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante no autenticado alterar configuraciones críticas del plugin, lo que podría resultar en la manipulación de las notificaciones enviadas o incluso en la exposición de datos sensibles. Esto puede afectar la confianza de los usuarios y la integridad del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a las endpoints del plugin que no requieren autenticación, permitiendo así la modificación de configuraciones sin restricciones.

Mitigación recomendada

Actualizar el plugin OneSignal a la versión 3.6.2 o superior para cerrar la vulnerabilidad. Además, se recomienda revisar los registros de actividad del plugin y aplicar medidas de seguridad adicionales, como limitar el acceso a la configuración del plugin a direcciones IP específicas.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración del plugin o en las notificaciones enviadas. También se pueden observar intentos de acceso a endpoints del plugin desde direcciones IP no autorizadas.

Alcance afectado

Las versiones del plugin OneSignal hasta la 3.6.1 están afectadas. Se recomienda a los usuarios verificar su instalación y realizar la actualización correspondiente.