Frontend Admin by DynamiApps <= 3.29.9 - Authenticated (Subscriber+) Arbitrary Password Reset via Encrypted Object Token en ACF Frontend Form Element (vulnerabilidad) - version 3.29.10

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin ACF Frontend Admin, que permite a usuarios autenticados (nivel Subscriber y superior) restablecer contraseñas de forma arbitraria mediante un token de objeto cifrado. Esta falla podría comprometer la seguridad de las cuentas de usuario y, en consecuencia, afectar la integridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en el plugin ACF Frontend Admin en versiones hasta 3.29.9. Se explota a través de un token de objeto cifrado que permite a los usuarios autenticados realizar un restablecimiento de contraseña sin las debidas autorizaciones. Esto expone la superficie de ataque a cualquier usuario con privilegios mínimos.

Impacto potencial

El impacto de esta vulnerabilidad es alto, ya que permite a un atacante con acceso mínimo modificar credenciales de usuario, lo que puede resultar en un acceso no autorizado a información sensible y en la posibilidad de realizar acciones maliciosas en el sitio.

Vector de explotación

Normalmente, se explota mediante el envío de solicitudes manipuladas que incluyen el token cifrado, permitiendo el restablecimiento de contraseñas sin autorización adecuada.

Mitigación recomendada

Actualizar el plugin ACF Frontend Admin a la versión 3.29.10 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso para identificar posibles intentos de explotación. Cambiar las contraseñas de usuarios que se sospeche hayan podido ser comprometidos. Implementar medidas de seguridad adicionales, como la autenticación de dos factores.

Señales de detección

Señales a observar incluyen cambios inusuales en las contraseñas de usuarios y entradas en los registros que indiquen intentos de restablecimiento de contraseña no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.29.10 del plugin ACF Frontend Admin. No se han confirmado otros escenarios de explotación en versiones posteriores.