WpTravelly <= 2.1.7 - Missing Authorization en Tour Booking Manager (falta de autorizacion) - version 2.1.8

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización faltante en el plugin WpTravelly, que afecta a las versiones hasta la 2.1.7. Esta falla puede permitir accesos no autorizados, comprometiendo la integridad de los datos operativos.

Contexto técnico

El fallo se origina en el plugin WpTravelly, utilizado para la gestión de reservas. La falta de controles de autorización adecuados expone el sistema a accesos indebidos, permitiendo que usuarios no autenticados realicen acciones restringidas.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles y la posibilidad de manipulación de reservas, lo que puede afectar la confianza de los clientes y la reputación del negocio. La severidad se clasifica como media, con un CVSS de 4.3.

Vector de explotación

La explotación de esta vulnerabilidad se puede realizar mediante solicitudes maliciosas que omiten los controles de autorización, permitiendo a un atacante ejecutar acciones no permitidas.

Mitigación recomendada

Actualizar el plugin WpTravelly a la versión 2.1.8 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y las configuraciones de autorización en el sistema. Implementar monitoreo continuo para detectar accesos no autorizados.

Señales de detección

Revisar logs de acceso para identificar intentos inusuales de acceso a funciones restringidas del plugin.

Alcance afectado

Las versiones afectadas incluyen todas las versiones de WpTravelly hasta la 2.1.7. No se han confirmado casos en versiones posteriores a la 2.1.8.