Download Manager <= 3.3.61 - Missing Authorization en Downloadmanager (falta de autorizacion) - version 3.3.62

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'falta de autorización' en el plugin Download Manager, afectando a versiones hasta la 3.3.61. Este fallo, con una severidad media (CVSS 4.3), puede permitir accesos no autorizados, comprometiendo la seguridad de los datos gestionados.

Contexto técnico

El fallo se origina en la gestión de permisos dentro del plugin Download Manager, permitiendo que usuarios no autenticados accedan a funcionalidades restringidas. La superficie de ataque se centra en las solicitudes a la API del plugin, donde las validaciones de autorización son insuficientes.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes acceder a archivos y datos que deberían estar protegidos. Esto puede resultar en la exposición de información sensible y afectar la integridad de los recursos del negocio.

Vector de explotación

La explotación se lleva a cabo mediante la manipulación de solicitudes a la API del plugin, donde se puede omitir la verificación de permisos para acceder a recursos restringidos.

Mitigación recomendada

Actualizar el plugin Download Manager a la versión 3.3.62 o superior para cerrar la vulnerabilidad. Revisar los permisos de acceso configurados en el plugin para asegurarse de que están correctamente establecidos. Realizar auditorías de seguridad periódicas para detectar posibles accesos no autorizados.

Señales de detección

Monitorizar los logs de acceso en busca de solicitudes no autorizadas a recursos restringidos del plugin, así como configuraciones de permisos inusuales.

Alcance afectado

Las versiones del plugin Download Manager hasta la 3.3.61 están afectadas. No se han confirmado casos de explotación en otras versiones o plugins relacionados.