BookingPress Pro <= 5.7.2 - Missing Authorization Unauthenticated Information Exposure en Bookingpress Appointment Booking PRO (falta de autorizacion) - version 5.7.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad en BookingPress Pro (versiones <= 5.7.2) que permite la exposición de información sin la debida autorización. Esto puede comprometer la privacidad de los datos y la integridad operativa del sitio web.

Contexto técnico

El fallo se presenta como un bypass de autorización que permite a usuarios no autenticados acceder a información sensible. La superficie de ataque se centra en las funcionalidades del plugin que no requieren autenticación para su uso.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la divulgación de datos confidenciales, afectando la confianza del cliente y la reputación del negocio. Además, puede implicar sanciones por incumplimiento de normativas de protección de datos.

Vector de explotación

Generalmente, se explota enviando solicitudes directas a los endpoints del plugin que no implementan las comprobaciones de autorización adecuadas.

Mitigación recomendada

Actualizar BookingPress Pro a la versión 5.7.3 o superior para corregir la vulnerabilidad. Revisar configuraciones de seguridad y permisos de acceso a los datos expuestos. Implementar medidas de monitoreo para detectar accesos no autorizados.

Señales de detección

Revisar los logs de acceso en busca de solicitudes inusuales a endpoints del plugin, especialmente aquellas que no requieren autenticación.

Alcance afectado

Las versiones afectadas incluyen todas las anteriores a la 5.7.3. No se han reportado casos de explotación en versiones posteriores.