Appointment Booking Calendar <= 1.4.02 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Disclosure (falta de autorizacion) - version 1.4.03

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Appointment Booking Calendar, que permite la divulgación de información sensible a usuarios autenticados con rol de colaborador o superior. Este fallo podría comprometer la privacidad de los datos de los usuarios, afectando la seguridad operativa del sitio.

Contexto técnico

El fallo se debe a una falta de autorización en el acceso a información sensible, lo que permite a usuarios con permisos de colaborador o superiores acceder a datos que deberían estar restringidos. La superficie de ataque se centra en las funciones que gestionan la información sensible dentro del plugin.

Impacto potencial

La exposición de información sensible puede llevar a la pérdida de confianza por parte de los usuarios y a posibles implicaciones legales. Además, el acceso no autorizado a datos críticos puede afectar la operativa del negocio y su reputación.

Vector de explotación

La explotación se realiza mediante la manipulación de solicitudes a las funciones del plugin que no implementan correctamente las restricciones de acceso, permitiendo a usuarios no autorizados obtener información sensible.

Mitigación recomendada

Actualizar el plugin Appointment Booking Calendar a la versión 1.4.03 o superior. Revisar los permisos de usuario para asegurarse de que solo los roles adecuados tengan acceso a información sensible. Realizar una auditoría de seguridad para identificar posibles accesos no autorizados previos a la actualización.

Señales de detección

Monitorizar los logs de acceso para detectar intentos inusuales de acceso a información sensible por parte de usuarios con rol de colaborador o superior.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin Appointment Booking Calendar hasta la 1.4.02. No se han confirmado casos en versiones posteriores a la 1.4.03.