Activity Logs, User Activity Tracking, Multisite Activity Log from Logtivity <= 3.3.6 - Unauthenticated Information Disclosure via REST API (divulgacion de informacion) - version 3.3.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Logtivity (versiones <= 3.3.6) que permite la divulgación de información sin autenticación a través de su REST API. Esto puede comprometer la seguridad de los datos de usuarios y actividades, afectando operativamente a las instalaciones vulnerables.

Contexto técnico

La vulnerabilidad se presenta en el plugin Logtivity, que gestiona registros de actividad y seguimiento de usuarios. La exposición se produce a través de la REST API, permitiendo a un atacante acceder a información sensible sin necesidad de autenticarse.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la exposición de datos sensibles de usuarios y actividades, lo que podría llevar a un uso indebido de la información y afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Un atacante puede realizar solicitudes a la REST API del plugin sin autenticación, accediendo a información que debería estar protegida.

Mitigación recomendada

Actualizar el plugin Logtivity a la versión 3.3.7 o superior para corregir la vulnerabilidad. Revisar los registros de actividad para identificar accesos no autorizados previos a la actualización. Implementar medidas de seguridad adicionales, como la autenticación de dos factores para el acceso a la administración del sitio.

Señales de detección

Revisar los logs de acceso para detectar solicitudes inusuales a la REST API, especialmente aquellas que no requieren autenticación.

Alcance afectado

Las versiones del plugin Logtivity hasta la 3.3.6 están afectadas. Se recomienda a los usuarios que actualicen a la versión 3.3.7 para mitigar el riesgo.