Registro de cuentas no autenticado en MailerUp permite acceder a los datos de correo almacenados

Descripción

Missing Authentication for Critical Function (CWE-306) en RegisterView (apps/accounts/views.py), expuesto en POST /api/auth/register/, en MailerUp <1.0.1, que permite a un atacante remoto y no autenticado registrar una cuenta funcional en instancias donde el registro debía estar restringido, debido a que el endpoint aplica el permiso AllowAny sin verificación de email, CAPTCHA ni aprobación por parte de un administrador. Cualquier cuenta creada de este modo puede leer todo el correo de producción almacenado por la instancia, lo que resulta en la divulgación completa de los mensajes almacenados a un atacante arbitrario.

Tipo de vulnerabilidad (CWE)

CWE-306: Missing Authentication for Critical Function

Versiones afectadas

MailerUp anteriores a 1.0.1 (todas las versiones anteriores a la 1.0.1). Estado por defecto: no afectado.

Puntuación (CVSS 4.0)

Alta

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Solución

Actualizar a la versión 1.0.1 o superior.

Parche

Commit 99eb6d4

Créditos

• Darío Rivas Quero (equipo de seguridad de Secur0) — finder (descubridor)
• Cristian Fernández Cornejo (equipo de seguridad de Secur0) — finder (descubridor)
• Mario Álvarez Fernández — remediation developer (desarrollador de la corrección)
• Xoán M. Otero Jorge — analyst (analista)
• Secur0 CNA — coordinator (coordinador)

Origen del descubrimiento: Interno

Registro oficial: CVE-2026-13164