Visualizer <= 4.0.3 - Missing Authorization to Unauthenticated Sensitive Information Disclosure via /visualizer/v1/action/{chart}/{type}/ REST Endpoint (falta de autorizacion) - version 4.0.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Visualizer, que permite la divulgación de información sensible sin la autorización adecuada. Esta falla de tipo bypass de autenticación puede impactar gravemente la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se encuentra en el endpoint REST /visualizer/v1/action/{chart}/{type}/, que no verifica adecuadamente los permisos de los usuarios no autenticados. Esto permite a atacantes acceder a información sensible sin necesidad de autenticación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la divulgación de datos sensibles que podrían ser utilizados para ataques posteriores. Esto podría comprometer la integridad y la confianza en la plataforma, afectando potencialmente la reputación del negocio.

Vector de explotación

La explotación se puede llevar a cabo mediante el envío de solicitudes HTTP al endpoint vulnerable, permitiendo a un atacante obtener información sensible sin necesidad de estar autenticado.

Mitigación recomendada

Actualizar el plugin Visualizer a la versión 4.0.4 o superior para cerrar la vulnerabilidad. Revisar los logs de acceso para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como la limitación de acceso a endpoints sensibles.

Señales de detección

Monitorear los logs de acceso en busca de solicitudes inusuales al endpoint /visualizer/v1/action/{chart}/{type}/, especialmente desde direcciones IP no reconocidas.

Alcance afectado

Las versiones del plugin Visualizer anteriores a la 4.0.4 están afectadas. No se han confirmado casos en otras versiones o plugins relacionados.