SMTP2GO for WordPress <= 1.16.0 - Missing Authorization to Authenticated (Subscriber+) Log Read/Truncate (falta de autorizacion) - version 1.17.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin SMTP2GO para WordPress que permite a usuarios autenticados con rol de suscriptor acceder y truncar registros de logs sin la autorización adecuada. Este fallo puede comprometer la seguridad de la información sensible almacenada en los logs, afectando la integridad operativa del sitio.

Contexto técnico

El fallo se presenta en las versiones del plugin SMTP2GO hasta la 1.16.0, donde la falta de controles de autorización permite a usuarios con permisos limitados, como suscriptores, leer y modificar registros de logs. Esto se traduce en una exposición innecesaria de datos que deberían estar restringidos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser medio, con un CVSS de 4.3, ya que permite la manipulación de información sensible. Esto podría llevar a la divulgación de datos confidenciales y a un posible uso indebido de la información, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la autenticación como usuario suscriptor, lo que permite acceder a registros de logs sin los permisos adecuados, facilitando la lectura y truncado de información sensible.

Mitigación recomendada

Actualizar el plugin SMTP2GO a la versión 1.17.0 o superior para corregir la vulnerabilidad. Revisar los roles y permisos asignados a los usuarios para limitar el acceso a información crítica. Implementar auditorías regulares de logs para detectar accesos no autorizados.

Señales de detección

Señales de riesgo incluyen accesos inusuales a logs por parte de usuarios con rol de suscriptor, así como cambios inesperados en los registros de logs.

Alcance afectado

Las versiones del plugin SMTP2GO hasta la 1.16.0 están afectadas. No se han confirmado casos en versiones posteriores a la 1.17.0.