MStore API – Create Native Android & iOS Apps On The Cloud <= 4.20.0 - Unauthenticated Privilege Escalation (escalada de privilegios) - version 4.21.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin MStore API, que permite la escalación de privilegios sin autenticación. Esta falla puede comprometer seriamente la seguridad operativa de las aplicaciones nativas generadas en la nube.

Contexto técnico

La vulnerabilidad se presenta en el plugin MStore API, versiones hasta la 4.20.0. Permite a un atacante no autenticado elevar sus privilegios, accediendo a funciones restringidas del sistema. La superficie de ataque se centra en la falta de validación de permisos en ciertas solicitudes.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a un atacante tomar control de funciones administrativas, lo que podría resultar en la manipulación de datos sensibles o la interrupción de servicios. Esto pone en riesgo la integridad y la disponibilidad de las aplicaciones desarrolladas.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes manipuladas a la API, sin necesidad de autenticación previa, lo que facilita el acceso no autorizado a funciones críticas.

Mitigación recomendada

Actualizar el plugin MStore API a la versión 4.21.0 o superior para corregir la vulnerabilidad. Revisar y reforzar las configuraciones de seguridad de la API para limitar el acceso a funciones críticas. Monitorizar los logs de acceso para detectar actividades sospechosas relacionadas con la escalación de privilegios.

Señales de detección

Señales de alerta incluyen intentos de acceso a funciones administrativas sin autenticación, así como patrones inusuales en los logs de acceso a la API.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.21.0. No se han confirmado casos de explotación en versiones posteriores.