LearnPress <= 4.4.1 - Missing Authorization to Unauthenticated Sensitive Information Exposure via /lp/v1/users/check-answer and /start-quiz REST Endpoints (falta de autorizacion) - version 4.4.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin LearnPress (versiones hasta 4.4.1) que permite la exposición de información sensible sin autorización. Esta brecha de seguridad puede comprometer la integridad de los datos de los usuarios y afectar la operación del sitio web.

Contexto técnico

La vulnerabilidad se origina en los endpoints REST /lp/v1/users/check-answer y /start-quiz, que no requieren autenticación para acceder a información sensible. Esto permite a un atacante no autenticado obtener datos confidenciales de los usuarios.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que la exposición de datos sensibles puede llevar a la pérdida de confianza de los usuarios y posibles implicaciones legales. La seguridad de la información se ve comprometida, lo que podría resultar en daños a la reputación de la organización.

Vector de explotación

El vector de explotación implica realizar solicitudes a los endpoints vulnerables sin necesidad de autenticarse, lo que permite acceder a datos sensibles de los usuarios.

Mitigación recomendada

Actualizar el plugin LearnPress a la versión 4.4.2 o superior para corregir la vulnerabilidad. Revisar los logs de acceso para detectar actividades sospechosas relacionadas con los endpoints afectados. Implementar medidas de seguridad adicionales, como la autenticación de usuarios para acceder a información sensible.

Señales de detección

Señales a observar incluyen solicitudes inusuales a los endpoints mencionados, especialmente desde direcciones IP no reconocidas, y la aparición de accesos no autorizados a datos de usuario.

Alcance afectado

Las versiones de LearnPress hasta la 4.4.1 son vulnerables. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar las actualizaciones necesarias.