Geo Mashup <= 1.13.19 - Missing Authorization to Unauthenticated Plugin Settings Disclosure via 'geo_mashup_content' Parameter (falta de autorizacion) - version 1.13.20

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Geo Mashup (hasta la versión 1.13.19) que permite la divulgación de configuraciones sin requerir autenticación. Esto podría comprometer la seguridad de la instalación al exponer información sensible a usuarios no autorizados.

Contexto técnico

El fallo se origina en la falta de autorización en el parámetro 'geo_mashup_content', lo que permite a atacantes no autenticados acceder a configuraciones del plugin. La superficie de ataque se centra en las solicitudes HTTP dirigidas a este parámetro.

Impacto potencial

La exposición de configuraciones puede llevar a la revelación de datos sensibles, afectando la integridad y la confianza del sitio. Aunque la severidad se clasifica como media (CVSS 5.3), el riesgo de explotación puede variar según la configuración específica del sitio.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes manipuladas que acceden al parámetro vulnerable, permitiendo la divulgación de configuraciones del plugin sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Geo Mashup a la versión 1.13.20 o superior para corregir la vulnerabilidad. Revisar las configuraciones del plugin para asegurar que no se expongan datos sensibles. Implementar medidas de seguridad adicionales, como firewalls y restricciones de acceso, para proteger los endpoints del plugin.

Señales de detección

Revisar los logs de acceso en busca de solicitudes inusuales al parámetro 'geo_mashup_content' que no provengan de usuarios autenticados.

Alcance afectado

Las versiones de Geo Mashup hasta la 1.13.19 están afectadas. No se han confirmado casos en versiones posteriores a la 1.13.20.