El plugin App Builder – Crear Aplicaciones Nativas para Android & iOS en Vuelo para WordPress es vulnerable a la escalada de privilegios a través de la toma de control de cuenta en todas las versiones hasta, e incluyendo, la 5.3.7. Esto se debe a que las funciones verify_otp_forgot_password() y update_password() no tienen suficientes controles para prevenir un exitoso ataque de fuerza bruta del OTP para cambiar una contraseña, o verificar que una solicitud de restablecimiento de contraseña provenga de un usuario autorizado. Esto hace posible que atacantes no autenticados generen y realicen un ataque de fuerza bruta de un OTP que les permita cambiar las contraseñas de cualquier usuario, incluido un administrador.
Para subsanar este problema, se recomienda a los usuarios del plugin App Builder – Crear Aplicaciones Nativas para Android & iOS en Vuelo actualizar a la última versión disponible, en la cual se hayan implementado medidas de seguridad adicionales para evitar la escalada de privilegios y la toma de control de cuenta a través de un OTP débil. Además, se sugiere utilizar contraseñas seguras y habilitar opciones de autenticación de doble factor para añadir una capa adicional de seguridad a sus cuentas.
Es crucial que los administradores de sitios web que utilicen el plugin App Builder – Crear Aplicaciones Nativas para Android & iOS en Vuelo estén al tanto de esta vulnerabilidad y tomen las medidas necesarias para proteger sus sitios y cuentas de usuario. La seguridad en línea es de suma importancia en la actualidad y es responsabilidad de todos mantener nuestros datos y activos seguros frente a posibles riesgos de ciberseguridad.