Majestic Support – The Leading-Edge Help Desk & Customer Support Plugin <= 1.1.7 - Authenticated (Subscriber+) Insecure Direct Object Reference (Insecure Direct Object Reference (IDOR)) - version 1.1.8

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Majestic Support, que afecta a versiones hasta la 1.1.7. Esta falla permite a usuarios autenticados acceder a objetos no autorizados, lo que puede comprometer la seguridad de los datos del cliente.

Contexto técnico

La vulnerabilidad se presenta en el plugin Majestic Support, que gestiona soporte al cliente. La exposición se produce cuando usuarios con rol de suscriptor o superior pueden manipular parámetros de solicitud para acceder a información no destinada a ellos, facilitando así un acceso no autorizado.

Impacto potencial

El impacto potencial incluye la filtración de datos sensibles de clientes y la posibilidad de que usuarios malintencionados obtengan acceso a información privada. Esto puede resultar en daños a la reputación de la empresa y posibles implicaciones legales por incumplimiento de normativas de protección de datos.

Vector de explotación

La explotación se realiza mediante la modificación de parámetros en las solicitudes HTTP, permitiendo el acceso a objetos que deberían estar restringidos a otros roles de usuario.

Mitigación recomendada

Actualizar el plugin Majestic Support a la versión 1.1.8 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y roles asignados para asegurar que no se otorguen privilegios innecesarios. Implementar controles adicionales en la validación de acceso a objetos dentro del plugin.

Señales de detección

Monitorear los logs de acceso para identificar patrones inusuales en solicitudes que intenten acceder a recursos restringidos. Configuraciones de seguridad que registren cambios en permisos de usuario también son útiles.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Majestic Support hasta la 1.1.7. La versión 1.1.8 ya incluye la corrección de esta vulnerabilidad.