Login with phone number <= 1.7.16 - Unauthorized Account Password Change to Privilege Escalation

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Login with Phone Number' que permite un cambio no autorizado de contraseña, lo que puede llevar a una escalada de privilegios. Esta vulnerabilidad afecta a las versiones hasta la 1.7.16 y tiene un CVSS de 8.8.

Contexto técnico

La vulnerabilidad se origina en una falta de validación adecuada durante el proceso de cambio de contraseña, permitiendo a un atacante no autorizado modificar las credenciales de acceso de una cuenta. La superficie de ataque se centra en la funcionalidad de inicio de sesión mediante número de teléfono.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante obtener acceso no autorizado a cuentas de usuario, lo que comprometería la seguridad de la información y podría resultar en un daño reputacional significativo para la organización.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas para cambiar la contraseña de una cuenta sin la debida autorización, lo que les permite escalar privilegios y acceder a información sensible.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.7.17 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable revisar los registros de acceso y cambiar las contraseñas de cuentas potencialmente afectadas.

Señales de detección

Se deben monitorizar los registros de actividad para detectar intentos inusuales de cambio de contraseña y accesos no autorizados a cuentas de usuario.

Alcance afectado

Las versiones del plugin 'Login with Phone Number' hasta la 1.7.16 están afectadas. Se aconseja a los usuarios de este plugin verificar su versión y aplicar la actualización necesaria.