My Social Feeds <= 1.0.4 - Missing Authorization to Unauthenticated Sensitive Information Exposure via 'ttp_get_accounts' AJAX Action (falta de autorizacion) - version 1.0.5

Resumen ejecutivo

La extensión My Social Feeds hasta la versión 1.0.4 presenta una vulnerabilidad de tipo bypass de autenticación, permitiendo la exposición de información sensible a usuarios no autenticados. Esto puede comprometer la seguridad de los datos de los usuarios y afectar la operación del sitio.

Contexto técnico

El fallo se origina en la acción AJAX 'ttp_get_accounts', que no implementa adecuadamente las restricciones de autorización. Esto permite que cualquier usuario, sin necesidad de autenticación, acceda a información sensible almacenada en el sistema.

Impacto potencial

La exposición de información sensible puede llevar a un uso indebido de datos de usuarios y a la pérdida de confianza en la plataforma. Además, puede resultar en sanciones regulatorias si se manejan datos personales.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes AJAX maliciosas a la acción afectada, obteniendo así información que debería estar protegida.

Mitigación recomendada

Actualizar el plugin My Social Feeds a la versión 1.0.5 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso para detectar cualquier actividad sospechosa relacionada con la acción AJAX. Implementar medidas de seguridad adicionales, como la limitación de acceso a información sensible.

Señales de detección

Revisar los logs del servidor en busca de accesos no autorizados a la acción 'ttp_get_accounts' y verificar la configuración de permisos del plugin.

Alcance afectado

Las versiones de My Social Feeds anteriores a la 1.0.5 están afectadas. No se han confirmado otros escenarios de explotación.