OTP Login With Phone Number, OTP Verification <= 1.8.70 - OTP Brute Force - version 1.8.71

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de ejecución remota de código (RCE) en el plugin 'OTP Login With Phone Number' en versiones hasta la 1.8.70. Esta falla permite a un atacante ejecutar código malicioso, comprometiendo gravemente la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en la funcionalidad de inicio de sesión mediante OTP, lo que permite a los atacantes enviar solicitudes maliciosas que pueden resultar en la ejecución de código no autorizado. La superficie de ataque está relacionada con la gestión inadecuada de las entradas de usuario.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar al control total del sitio afectado, con consecuencias que incluyen la pérdida de datos, la alteración de la información y posibles daños a la reputación del negocio. La severidad de esta falla, con un CVSS de 9.8, indica un riesgo elevado.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando peticiones manipuladas al servidor que permiten la ejecución de código malicioso en el contexto del servidor web.

Mitigación recomendada

Actualizar el plugin 'OTP Login With Phone Number' a la versión 1.8.71 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso y errores para detectar actividad sospechosa relacionada con el plugin. Implementar medidas de seguridad adicionales, como firewalls y protección contra ataques de fuerza bruta.

Señales de detección

Señales de riesgo incluyen patrones inusuales en los registros de acceso, intentos repetidos de inicio de sesión y errores de autenticación relacionados con el plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.8.71. No se han confirmado casos de explotación activa, pero el riesgo es elevado.