Loginizer Security and Loginizer <= 1.9.2 - Authentication Bypass via WordPress.com OAuth provider (bypass de autenticacion) - version 1.9.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Loginizer Security y Loginizer en versiones hasta la 1.9.2, que permite un bypass de autenticación a través del proveedor OAuth de WordPress.com. Esta vulnerabilidad, catalogada con un CVSS de 8.1, podría comprometer la seguridad de las cuentas de usuario.

Contexto técnico

La vulnerabilidad se origina en un fallo en el manejo de la autenticación mediante el proveedor OAuth de WordPress.com, lo que permite a un atacante eludir los mecanismos de autenticación establecidos. Esto expone a las instalaciones afectadas a un riesgo significativo de acceso no autorizado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante acceder a cuentas de usuario sin las credenciales adecuadas. Esto podría resultar en la exposición de datos sensibles y en la posibilidad de realizar acciones maliciosas en nombre del usuario, afectando la integridad y la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad intentando autenticarse a través del proveedor OAuth de WordPress.com, lo que les permite eludir la autenticación normal y obtener acceso no autorizado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Loginizer a la versión 1.9.3 o superior. Además, se sugiere revisar las configuraciones de seguridad y autenticación de la instalación de WordPress, así como implementar medidas adicionales de seguridad como la autenticación de dos factores.

Señales de detección

Señales de posible explotación incluyen intentos de acceso a cuentas de usuario sin credenciales válidas y registros de autenticación fallidos que coincidan con patrones de uso del OAuth de WordPress.com.

Alcance afectado

Las versiones afectadas son Loginizer Security y Loginizer hasta la 1.9.2. Las instalaciones que utilizan estas versiones están en riesgo hasta que se realice la actualización a la versión 1.9.3.