MotoPress Appointment Booking <= 2.4.4 - Unauthenticated Insecure Direct Object Reference to 'payment_details.booking_id' Parameter en Motopress Appointment Lite (vulnerabilidad) - version 2.4.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin MotoPress Appointment Booking hasta la versión 2.4.4, que permite el acceso no autenticado a información sensible a través del parámetro 'payment_details.booking_id'. Esto podría comprometer la seguridad de los datos de los usuarios y afectar la operativa del negocio.

Contexto técnico

La vulnerabilidad se manifiesta como una referencia directa e insegura a objetos (ID de reserva) que no requiere autenticación. Esto permite a un atacante acceder a detalles de pagos de reservas sin necesidad de estar autenticado, exponiendo datos sensibles.

Impacto potencial

El impacto en la seguridad puede ser significativo, ya que permite a un atacante obtener información de reservas y pagos, lo que podría llevar a fraudes o a la exposición de datos personales de los clientes. Esto, a su vez, puede dañar la reputación del negocio y generar pérdidas económicas.

Vector de explotación

El vector de explotación implica enviar solicitudes directas al endpoint del plugin con el ID de reserva, lo que permite a un atacante acceder a información confidencial sin autenticación previa.

Mitigación recomendada

Actualizar el plugin MotoPress Appointment Booking a la versión 2.4.5 o superior para corregir la vulnerabilidad. Revisar los registros de acceso para detectar cualquier actividad sospechosa relacionada con el acceso a datos de reservas. Implementar medidas de seguridad adicionales, como la autenticación de dos factores, para proteger la información sensible.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a parámetros de reservas en los logs, así como intentos de acceso a información de pago sin autenticación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.4.5 del plugin MotoPress Appointment Booking. No se han confirmado casos de explotación en versiones posteriores.