ThriveDesk <= 2.1.7 - Missing Authorization to Authenticated (Subscriber+) Cache Deletion (falta de autorizacion) - version 2.2.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin ThriveDesk (versiones <= 2.1.7) que permite a usuarios autenticados con rol de suscriptor y superiores eliminar cachés sin autorización. Esta falla, clasificada como de severidad media, puede comprometer la integridad del sistema operativo.

Contexto técnico

La vulnerabilidad radica en la falta de control de autorización para la eliminación de caché, lo que permite que usuarios no privilegiados realicen acciones que deberían estar restringidas. Esto se puede explotar a través de peticiones HTTP maliciosas dirigidas a las funciones del plugin.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios no autorizados alteren o eliminen datos en caché, lo que puede afectar el rendimiento del sitio y la experiencia del usuario. Además, puede abrir la puerta a ataques más complejos si se combina con otras vulnerabilidades.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes manipuladas a las funciones del plugin que gestionan la caché, permitiendo así la eliminación sin la debida autorización.

Mitigación recomendada

Actualizar el plugin ThriveDesk a la versión 2.2.0 o superior para corregir la vulnerabilidad. Revisar los roles y permisos de los usuarios autenticados para limitar el acceso a funciones críticas. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para mitigar riesgos futuros.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales de eliminación de caché y configuraciones que permitan accesos no autorizados a funciones críticas del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones de ThriveDesk hasta la 2.1.7. La versión 2.2.0 y posteriores no están afectadas.