MailerPress <= 1.5.0 - Missing Authorization to Unauthenticated Arbitrary Modification via REST API Endpoint (falta de autorizacion) - version 1.5.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad en MailerPress (versiones <= 1.5.0) que permite la modificación arbitraria sin autenticación a través de un endpoint de la REST API. Esta falla puede comprometer la integridad de los datos y la seguridad operativa del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el plugin MailerPress, específicamente en la falta de verificación de autorización en su REST API. Esto permite a usuarios no autenticados realizar modificaciones en el sistema, exponiendo así la superficie de ataque a accesos no autorizados.

Impacto potencial

El impacto de esta vulnerabilidad puede resultar en la alteración de configuraciones críticas y la manipulación de datos, lo que podría llevar a pérdidas económicas y de reputación. La severidad de este fallo se clasifica como media (CVSS 5.3), lo que indica un riesgo significativo que debe ser abordado.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante el envío de solicitudes a la REST API sin la debida autenticación, permitiendo cambios no autorizados en la configuración del plugin.

Mitigación recomendada

Actualizar MailerPress a la versión 1.5.1 o superior para corregir la vulnerabilidad. Revisar y restringir el acceso a los endpoints de la REST API según sea necesario. Implementar medidas de seguridad adicionales, como la autenticación de dos factores y el monitoreo de logs.

Señales de detección

Señales a observar incluyen registros de acceso inusuales a la REST API, especialmente solicitudes que intenten modificar configuraciones sin autenticación previa.

Alcance afectado

Las versiones afectadas son MailerPress hasta la 1.5.0. Las instalaciones que han actualizado a la versión 1.5.1 o superior no están en riesgo. Se recomienda verificar la versión instalada.