AcyMailing <= 10.11.1 - Authenticated (Subscriber+) Missing Authorization to Account Takeover via Notification Template Update (falta de autorizacion) - version 11.0.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en AcyMailing hasta la versión 10.11.1, que permite a usuarios autenticados (nivel suscriptor y superior) realizar actualizaciones de plantillas de notificación sin la autorización adecuada. Esto puede resultar en la toma de control de cuentas, afectando la seguridad de los usuarios y la integridad del sistema.

Contexto técnico

El fallo se origina en la falta de controles de autorización al actualizar plantillas de notificación. Los atacantes pueden aprovechar esta brecha si tienen acceso como suscriptores, permitiendo modificaciones no autorizadas en cuentas de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la manipulación de cuentas de usuario y a la pérdida de datos sensibles, lo que compromete la confianza de los clientes y puede resultar en daños reputacionales y financieros significativos para la organización.

Vector de explotación

La vulnerabilidad se explota aprovechando la falta de autorización en la actualización de plantillas, permitiendo que un suscriptor modifique configuraciones críticas de otros usuarios.

Mitigación recomendada

Actualizar AcyMailing a la versión 11.0.0 o superior para cerrar la vulnerabilidad. Revisar y restringir los permisos de los usuarios suscriptores para limitar el acceso a funciones críticas. Implementar auditorías regulares de seguridad para identificar accesos no autorizados.

Señales de detección

Logs que registren intentos de actualización de plantillas por usuarios no autorizados, así como cambios inusuales en las configuraciones de cuentas de usuario.

Alcance afectado

AcyMailing versiones hasta la 10.11.1 son vulnerables. No se han reportado casos de explotación en versiones posteriores.