Floating Chat Widget: Contact Chat Icons, Telegram Chat, Line Messenger, WeChat, Email, SMS, Call Button – Chaty <= 3.5.1 - Unauthenticated Information Exposure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autenticación en el plugin Chaty, que permite la exposición no autenticada de información. Esta falla afecta a las versiones hasta la 3.5.1 y ha sido corregida en la versión 3.5.2.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de las solicitudes, lo que permite a un atacante acceder a información sensible sin necesidad de autenticarse. Esto se produce debido a la falta de controles adecuados en la verificación de permisos para ciertos endpoints del plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a los atacantes obtener información que podría ser utilizada para realizar ataques más complejos. Esto podría comprometer la seguridad de la instalación y afectar la confianza de los usuarios en el sitio web.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes directas a los endpoints del plugin que no requieren autenticación, lo que les permite acceder a datos que deberían estar protegidos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Chaty a la versión 3.5.2 o superior. Además, se sugiere revisar las configuraciones de seguridad del sitio y aplicar medidas de hardening adicionales para proteger los endpoints expuestos.

Señales de detección

Se deben monitorizar los registros de acceso y búsqueda de patrones inusuales de solicitudes a los endpoints del plugin, así como cualquier intento de acceso a información sensible sin autenticación.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin Chaty en versiones hasta la 3.5.1. Las versiones posteriores no se ven afectadas.