Amelia Booking <= 9.1.2 - Authenticated (Customer+) Insecure Direct Object Reference to Arbitrary User Password Change

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Amelia Booking, que permite a los usuarios autenticados cambiar la contraseña de otros usuarios arbitrariamente. Esta falla podría comprometer la seguridad de las cuentas de usuario en versiones anteriores a la 9.2.

Contexto técnico

La vulnerabilidad se clasifica como Insecure Direct Object Reference (IDOR), lo que significa que un atacante autenticado puede manipular las solicitudes para acceder y modificar datos que no le corresponden, en este caso, las contraseñas de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad es alto, ya que permite a un atacante cambiar contraseñas de otros usuarios, lo que podría llevar a la toma de control de cuentas y a la exposición de datos sensibles. Esto podría afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad implica que un usuario autenticado envíe solicitudes manipuladas a la API del plugin para cambiar la contraseña de otro usuario sin autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Amelia Booking a la versión 9.2 o superior. Además, se sugiere implementar controles de acceso más estrictos y validar las solicitudes para asegurar que los usuarios solo puedan modificar sus propios datos.

Señales de detección

Las señales de posible explotación incluyen cambios sospechosos en las contraseñas de usuarios, así como intentos de acceso no autorizados a cuentas de otros usuarios desde una misma cuenta autenticada.

Alcance afectado

Las versiones afectadas del plugin Amelia Booking son todas las anteriores a la 9.2. Se recomienda revisar las instalaciones que utilicen este plugin para asegurar que estén actualizadas.