AcyMailing <= 10.8.2 - Missing Authorization to Authenticated (Subscriber+) Privilege Escalation via 'acymailing_router' (escalada de privilegios) - version 10.9.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin AcyMailing, que permite la escalación de privilegios para usuarios autenticados con rol de suscriptor o superior. Esta falla puede comprometer la seguridad operativa de los sitios afectados.

Contexto técnico

El fallo se encuentra en la función 'acymailing_router', donde no se requiere autorización adecuada para ciertas acciones. Esto permite a un usuario autenticado elevar sus privilegios, accediendo a funcionalidades restringidas.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante con acceso limitado realizar acciones no autorizadas, afectando la integridad de los datos y la confianza de los usuarios en la plataforma. Esto puede resultar en daños a la reputación y posibles pérdidas económicas.

Vector de explotación

La explotación se lleva a cabo mediante la manipulación de solicitudes a la función vulnerable, permitiendo a un usuario malintencionado ejecutar acciones que normalmente estarían restringidas.

Mitigación recomendada

Actualizar AcyMailing a la versión 10.9.0 o superior para cerrar la vulnerabilidad. Revisar y restringir los permisos de los usuarios autenticados para minimizar el riesgo de escalación de privilegios. Implementar medidas de monitoreo para detectar accesos no autorizados.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales de actividad de usuarios autenticados, así como cambios inesperados en los permisos de usuario.

Alcance afectado

Las versiones de AcyMailing hasta la 10.8.2 están afectadas. La versión 10.9.0 ya corrige esta vulnerabilidad. No se han confirmado otros escenarios de explotación.