User Profile Picture <= 2.6.3 - Authenticated (Author+) Insecure Direct Object Reference en Metronet Profile Picture (Insecure Direct Object Reference (IDOR)) - version 2.6.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Metronet Profile Picture, que permite a usuarios autenticados acceder a objetos no autorizados. Esta falla, con una severidad media, puede comprometer la seguridad de los datos de los usuarios.

Contexto técnico

La vulnerabilidad se presenta en el plugin Metronet Profile Picture en versiones hasta 2.6.3. La superficie de ataque se centra en usuarios autenticados con rol de autor o superior, quienes pueden manipular las solicitudes para acceder a perfiles de otros usuarios.

Impacto potencial

El impacto en la seguridad puede incluir la exposición de información sensible de los usuarios, lo que podría afectar la confianza en la plataforma y potencialmente llevar a violaciones de datos.

Vector de explotación

La explotación se realiza mediante la modificación de parámetros en las solicitudes a la API del plugin, permitiendo el acceso a recursos no autorizados.

Mitigación recomendada

Actualizar el plugin Metronet Profile Picture a la versión 2.6.4 o superior. Revisar los permisos de usuario para asegurar que solo los roles adecuados tengan acceso a funciones críticas. Implementar medidas adicionales de seguridad, como auditorías regulares de acceso y uso de logs.

Señales de detección

Buscar en los logs de acceso patrones inusuales que indiquen intentos de acceder a perfiles de usuario no autorizados, así como cambios inesperados en las configuraciones de permisos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Metronet Profile Picture hasta la 2.6.3. No se han confirmado otros escenarios fuera de este alcance.