User Profile Builder <= 3.10.8 - Missing Authorization to Plugin Settings Change via wppb_two_factor_authentication_settings_update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin User Profile Builder, que permite cambios no autorizados en la configuración de autenticación de dos factores. Esta falla afecta a las versiones hasta la 3.10.8 y ha sido corregida en la 3.10.9.

Contexto técnico

El fallo se origina en la falta de autorización adecuada al modificar la configuración de autenticación de dos factores. Esto permite a un atacante realizar cambios en la configuración sin los permisos necesarios, exponiendo así la seguridad de los usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a un acceso no autorizado a cuentas de usuario, comprometiendo la integridad de los datos y la confianza de los usuarios en la plataforma. Esto podría resultar en pérdidas financieras y daños a la reputación de la empresa.

Vector de explotación

Los atacantes podrían aprovechar esta vulnerabilidad enviando solicitudes maliciosas para modificar la configuración de autenticación sin la debida autorización, lo que podría facilitar el acceso a cuentas de usuario.

Mitigación recomendada

Actualizar el plugin User Profile Builder a la versión 3.10.9 o superior. Además, se recomienda revisar los registros de actividad para detectar posibles cambios no autorizados en la configuración.

Señales de detección

Señales de riesgo incluyen cambios inesperados en la configuración de autenticación de dos factores, así como intentos de acceso a cuentas de usuario sin autorización previa.

Alcance afectado

Las versiones del plugin User Profile Builder hasta la 3.10.8 están afectadas por esta vulnerabilidad.