CVE-2024-9861

O plugin Miniorange OTP Verification with Firebase falha em validar o token fornecido durante o login por OTP, então um atacante não autenticado pode fazer login como qualquer usuário existente — incluindo um administrador — desde que saiba o número de telefone atrelado a essa conta. O mecanismo que deveria provar a posse de um telefone é efetivamente pulado, colapsando o login por OTP em 'diga o número de telefone, receba a conta'.

Duas coisas moldam o risco real. Por um lado, isto é tomada de conta de admin não autenticada num plugin de WordPress, o que é grave; por outro, é limitado por conhecer o número de telefone do alvo e avaliado como um ataque difícil, então não é um arrombamento cego de uma requisição contra cada instalação. Isso o torna mais perigoso para contas cujos números de telefone associados sejam descobríveis ou adivinháveis, e pende para uso direcionado em vez de disparo indiscriminado.

Lidamos com isto com a varredura usual de inventário do WordPress, afiada pela pré-condição do número de telefone. Mapeamos quais sites rodam este plugin e em qual versão, e priorizamos pela questão de se os números de telefone de contas de alto valor estão expostos em algum lugar onde um atacante poderia coletá-los. Onde não conseguimos aplicar patch imediatamente, vigiar tentativas anômalas de login por OTP contra contas privilegiadas é uma detecção interina sensata, mas a correção é levar os sites afetados para além da versão vulnerável rapidamente, dado que a personificação de admin é o prêmio.