LoginPress Pro <= 6.2.3 - Unauthenticated Authentication Bypass via Unverified OAuth Email via Discord OAuth Callback (bypass de autenticacion) - version 6.2.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en LoginPress Pro que permite un bypass de autenticación no autenticado a través de un callback de OAuth no verificado. Esta falla puede comprometer la seguridad del sitio, permitiendo accesos no autorizados.

Contexto técnico

La vulnerabilidad se encuentra en el componente LoginPress Pro, versiones hasta 6.2.3, y se explota mediante un callback de OAuth no verificado que permite la autenticación sin credenciales válidas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a atacantes acceder a áreas restringidas del sitio, lo que podría resultar en la exposición de datos sensibles y comprometer la integridad del sistema.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a la API de OAuth, eludiendo así los mecanismos de autenticación estándar.

Mitigación recomendada

Actualizar inmediatamente LoginPress Pro a la versión 6.2.4 o superior. Revisar y reforzar las configuraciones de OAuth en tu sitio. Monitorizar los registros de acceso para detectar actividad sospechosa.

Señales de detección

Señales de riesgo incluyen intentos de acceso no autorizados en los registros de autenticación y actividad inusual en las peticiones de OAuth.

Alcance afectado

Las versiones de LoginPress Pro hasta la 6.2.3 son vulnerables. No se han confirmado casos en versiones posteriores a la 6.2.4.