Uncanny Automator <= 7.3.2 - Missing Authorization to Authenticated (Subscriber+) Sensitive Integration Metadata Disclosure via Multiple AJAX Endpoints (falta de autorizacion) - version 7.4.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Uncanny Automator, que permite la divulgación no autorizada de metadatos sensibles a través de múltiples endpoints AJAX. Esta falla, clasificada como de alta severidad (CVSS 7.5), puede comprometer la seguridad de las integraciones en sitios WordPress afectados.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada para acceder a metadatos sensibles en el plugin Uncanny Automator, específicamente en versiones hasta la 7.3.2. Los atacantes autenticados con nivel de suscriptor o superior pueden explotar esta falla mediante solicitudes AJAX maliciosas.

Impacto potencial

La exposición de metadatos sensibles puede permitir a los atacantes obtener información crítica sobre las integraciones del sitio, lo que podría ser utilizado para realizar ataques más sofisticados. Esto podría afectar la confianza de los usuarios y la integridad del negocio.

Vector de explotación

Los atacantes pueden utilizar solicitudes AJAX no autorizadas para acceder a metadatos sensibles, lo que representa un riesgo significativo para la seguridad de la información en el sitio.

Mitigación recomendada

Actualizar el plugin Uncanny Automator a la versión 7.4.0 o superior para corregir la vulnerabilidad. Revisar y ajustar las configuraciones de permisos de usuario para limitar el acceso a funciones críticas. Implementar un monitoreo continuo de las solicitudes AJAX para detectar actividades sospechosas.

Señales de detección

Revisar los logs de acceso para identificar patrones inusuales en las solicitudes AJAX, especialmente aquellas realizadas por usuarios con permisos de suscriptor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.4.0 del plugin Uncanny Automator. No se han confirmado casos de explotación en versiones posteriores.