Tutor LMS – eLearning and online course solution <= 3.9.13 - Unauthenticated Insecure Direct Object Reference (vulnerabilidad) - version 3.9.14

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Tutor LMS (versiones <= 3.9.13) que permite el acceso no autenticado a objetos directos. Este fallo, clasificado como un bypass de autenticación, puede comprometer la seguridad de la plataforma educativa y afectar la integridad de los datos.

Contexto técnico

La vulnerabilidad se presenta como una referencia insegura a objetos directos (IDOR), lo que permite a un atacante acceder a recursos sin necesidad de autenticación. Este tipo de fallo se explota a través de solicitudes HTTP manipuladas que apuntan a recursos internos del sistema.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que podría permitir a un atacante acceder a información sensible de los cursos, usuarios y otros datos críticos sin autorización. Esto no solo pone en riesgo la seguridad de los datos, sino que también puede dañar la reputación de la institución educativa.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas para acceder a objetos o recursos que deberían estar protegidos, lo que les permite eludir los mecanismos de autenticación.

Mitigación recomendada

Actualizar el plugin Tutor LMS a la versión 3.9.14 o superior para corregir la vulnerabilidad. Revisar los permisos y configuraciones de acceso a los recursos del plugin para asegurar que no haya otros puntos débiles. Realizar auditorías de seguridad periódicas para identificar y mitigar vulnerabilidades similares en el futuro.

Señales de detección

Monitorear los logs de acceso para detectar patrones inusuales, como múltiples intentos de acceso a recursos que requieren autenticación. También se debe revisar la configuración del plugin para asegurar que no se hayan realizado cambios no autorizados.

Alcance afectado

Las versiones afectadas incluyen todas las versiones del plugin Tutor LMS hasta la 3.9.13. Las instalaciones que han actualizado a la versión 3.9.14 o superior no están afectadas.