Hydra Booking <= 1.2.1 - Authenticated (Custom+) Insecure Direct Object Reference to Sensitive Information Exposure via 'booking_id' Parameter (Insecure Direct Object Reference (IDOR)) - version 1.2.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Hydra Booking, que permite la exposición de información sensible a través del parámetro 'booking_id'. Esta falla, catalogada con una severidad media (CVSS 4.3), puede comprometer la seguridad de los datos de los usuarios.

Contexto técnico

La vulnerabilidad se presenta en el plugin Hydra Booking en versiones hasta la 1.2.1. Permite a un usuario autenticado acceder a información sensible de otros usuarios mediante la manipulación del parámetro 'booking_id'. Esto se traduce en una referencia directa e insegura a objetos que no deberían ser accesibles.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la exposición de datos personales de los usuarios, lo que podría derivar en violaciones de privacidad y confianza. Además, podría resultar en sanciones legales si se manejan datos regulados.

Vector de explotación

Un atacante autenticado puede explotar esta vulnerabilidad modificando el parámetro 'booking_id' en las solicitudes, accediendo así a información sensible que no le corresponde.

Mitigación recomendada

Actualizar el plugin Hydra Booking a la versión 1.2.2 o superior para cerrar la vulnerabilidad. Revisar los permisos de usuario y asegurar que solo los roles adecuados tengan acceso a información sensible. Implementar controles adicionales de validación en los parámetros de entrada para mitigar riesgos de IDOR.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales en el uso del parámetro 'booking_id' por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Hydra Booking hasta la 1.2.1. No se han reportado casos de explotación en versiones posteriores.