Complianz – GDPR/CCPA Cookie Consent <= 7.4.5 - Missing Authorization to Unauthenticated Private Post Content Disclosure via Consent Area REST Endpoint en Complianz Gdpr (falta de autorizacion) - version 7.4.6

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Complianz – GDPR/CCPA que permite la divulgación no autorizada de contenido privado a través de un endpoint REST. Esta falla de autenticación puede comprometer la privacidad de los datos y la seguridad de la información sensible de los usuarios.

Contexto técnico

El fallo se presenta en el endpoint REST del área de consentimiento del plugin, donde se permite el acceso a contenido privado sin requerir autenticación. Esto puede ser explotado por atacantes que buscan acceder a información sensible de publicaciones privadas.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de contenido privado, afectando la confianza del usuario y la reputación del negocio. Además, puede llevar a incumplimientos normativos relacionados con la protección de datos.

Vector de explotación

Los atacantes pueden enviar solicitudes al endpoint REST del plugin sin autenticarse, lo que les permite acceder a contenido que debería estar restringido.

Mitigación recomendada

Actualizar el plugin Complianz – GDPR/CCPA a la versión 7.4.6 o superior para corregir la vulnerabilidad. Revisar y restringir el acceso a los endpoints REST no autenticados en la configuración del plugin. Implementar medidas de seguridad adicionales, como autenticación multifactor y auditorías regulares de seguridad.

Señales de detección

Monitorear los logs de acceso para detectar solicitudes inusuales al endpoint REST del plugin y verificar configuraciones de acceso que no deberían estar permitidas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.4.6. No se han confirmado casos de explotación en versiones posteriores.