LearnPress – WordPress LMS Plugin <= 4.2.9.4 - Missing Authorization to Unauthenticated Arbitrary Callback Execution to Information Exposure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autenticación en el plugin LearnPress para WordPress, que afecta a las versiones hasta la 4.2.9.4. Esta falla permite la ejecución de callbacks arbitrarios por usuarios no autenticados, lo que podría llevar a la exposición de información sensible.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados, permitiendo que usuarios no autenticados realicen llamadas a funciones críticas del plugin. Esto expone potencialmente datos que deberían estar protegidos, aumentando la superficie de ataque.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información sensible sin necesidad de autenticación. Esto podría comprometer la integridad de los datos y la confianza de los usuarios en la plataforma, afectando negativamente a la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes específicas a las funciones del plugin que no están debidamente protegidas, lo que les permite ejecutar código arbitrario y acceder a información sensible sin estar autenticados.

Mitigación recomendada

Se recomienda actualizar el plugin LearnPress a la versión 4.3.0 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar las configuraciones de seguridad y aplicar medidas de hardening en la instalación de WordPress.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales a funciones del plugin LearnPress por usuarios no autenticados, así como intentos de ejecución de callbacks que no deberían ser accesibles sin autorización.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.3.0 del plugin LearnPress. Es esencial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen las actualizaciones necesarias.