WP 2FA <= 2.5.0 - Insecure Direct Object Reference to Arbitrary Email Sending

Resumen ejecutivo

Se ha identificado una vulnerabilidad de referencia a objetos directos inseguros (IDOR) en el plugin WP 2FA, que permite el envío arbitrario de correos electrónicos. Esta falla afecta a la versión 2.5.0 y anteriores, y ha sido corregida en la versión 2.6.0.

Contexto técnico

La vulnerabilidad se origina en la falta de control de acceso adecuado, permitiendo a un atacante enviar correos electrónicos a direcciones arbitrarias mediante solicitudes manipuladas. Esto se considera un problema crítico en la superficie de ataque de la gestión de usuarios y notificaciones del plugin.

Impacto potencial

El impacto potencial incluye el envío no autorizado de correos electrónicos, lo que podría llevar a la divulgación de información sensible o suplantación de identidad. Esto puede afectar la confianza del usuario y la reputación de la organización, además de posibles repercusiones legales.

Vector de explotación

La explotación se realiza mediante la manipulación de parámetros en las solicitudes HTTP, lo que permite al atacante especificar direcciones de correo electrónico no autorizadas para el envío de mensajes.

Mitigación recomendada

Actualizar el plugin WP 2FA a la versión 2.6.0 o superior. Además, se recomienda revisar las configuraciones de acceso y aplicar medidas de seguridad adicionales, como la validación de entradas y la implementación de controles de acceso más estrictos.

Señales de detección

Señales de riesgo incluyen un aumento inusual en los intentos de envío de correos electrónicos desde el plugin, así como registros de actividad que indiquen accesos no autorizados o manipulaciones de parámetros en las solicitudes.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin WP 2FA hasta la 2.5.0. La versión 2.6.0 y posteriores no presentan esta vulnerabilidad.