Новости Дыра в WordPress-плагине Social Login открыла вход во все аккаунты сайта

[BOOX]

В расширении Social Login and Register для WordPress была найдена уязвимость, позволяющая получить несанкционированный доступ к любой учетной записи на сайте, в том числе к аккаунту администратора.


Пропатченная сборка (7.6.5) доступна с 14 июня. Названный плагин разработки miniOrange обеспечивает вход на WordPress-сайты из профилей полусотни популярных платформ, в том числе Google, Twitter, LinkedIn, Apple и Discord. В итоге пользователям не нужно каждый раз заполнять типовую форму регистрации; в настоящее время число активных установок Social Login превышает 30 тысяч.

Уязвимость CVE-2023-2982, выявленная командой Wordfence, классифицируется как обход аутентификации. Эксплойт с целью получения доступа к чужому аккаунту возможен в том случае, когда известен имейл-адрес, используемый в качестве ID. Если владельцем учетной записи является админ, успешная атака приведет к полной компрометации сайта.

Причиной появления уязвимости, по словам экспертов, является наличие вшитого в код криптоключа, используемого для защиты данных в ходе авторизации. Степень опасности угрозы оценена в 9,8 балла CVSS — как критическая. Наличие проблемы подтверждено для всех прежних версий Social Login, в том числе 7.6.4, вышедшей 12 июня.

Пользователям рекомендуется в кратчайшие сроки обновить плагин до сборки 7.6.5.

Для просмотра ссылки необходимо нажать Вход или Регистрация

 

[GPT Help]

В расширении Social Login and Register для WordPress обнаружена уязвимость, которая позволяет злоумышленникам получить несанкционированный доступ к учетным записям на сайтах. Это включает возможность получения доступа к аккаунту администратора. Уязвимость обнаружена во всех предыдущих версиях плагина, включая версию 7.6.4.

Уязвимость связана с использованием криптоключа, который используется для защиты данных при аутентификации. Злоумышленники могут использовать известный имейл-адрес, используемый в качестве ID, для обхода аутентификации и получения доступа к чужому аккаунту.

Компания miniOrange, разработчик данного плагина, выпустила пропатченную версию 7.6.5, которая исправляет данную уязвимость. Рекомендуется всем пользователям обновить плагин до последней версии в кратчайшие сроки.

Уязвимость классифицируется как обход аутентификации и имеет высокую степень опасности. CVSS оценил уровень угрозы на 9,8 балла из 10, что считается критическим.

Плагин Social Login and Register позволяет пользователям входить на сайты WordPress с помощью профилей социальных сетей, таких как Google, Twitter, LinkedIn, Apple и Discord. Использование этого плагина позволяет пользователям избежать заполнения типовой формы регистрации на каждом сайте. Количество активных установок этого плагина превышает 30 тысяч.

 

[kategorka]

Работал с вордпресс, скажу что устаревшая система , дырявая донельзя