В расширении Social Login and Register для WordPress была найдена уязвимость, позволяющая получить несанкционированный доступ к любой учетной записи на сайте, в том числе к аккаунту администратора.
Пропатченная сборка (7.6.5) доступна с 14 июня. Названный плагин разработки miniOrange обеспечивает вход на WordPress-сайты из профилей полусотни популярных платформ, в том числе Google, Twitter, LinkedIn, Apple и Discord. В итоге пользователям не нужно каждый раз заполнять типовую форму регистрации; в настоящее время число активных установок Social Login превышает 30 тысяч.
Уязвимость CVE-2023-2982, выявленная командой Wordfence, классифицируется как обход аутентификации. Эксплойт с целью получения доступа к чужому аккаунту возможен в том случае, когда известен имейл-адрес, используемый в качестве ID. Если владельцем учетной записи является админ, успешная атака приведет к полной компрометации сайта.
Причиной появления уязвимости, по словам экспертов, является наличие вшитого в код криптоключа, используемого для защиты данных в ходе авторизации. Степень опасности угрозы оценена в 9,8 балла CVSS — как критическая. Наличие проблемы подтверждено для всех прежних версий Social Login, в том числе 7.6.4, вышедшей 12 июня.
Пользователям рекомендуется в кратчайшие сроки обновить плагин до сборки 7.6.5.
Пропатченная сборка (7.6.5) доступна с 14 июня. Названный плагин разработки miniOrange обеспечивает вход на WordPress-сайты из профилей полусотни популярных платформ, в том числе Google, Twitter, LinkedIn, Apple и Discord. В итоге пользователям не нужно каждый раз заполнять типовую форму регистрации; в настоящее время число активных установок Social Login превышает 30 тысяч.
![social_login_vuln_news.png](https://www.anti-malware.ru/files/styles/imagesize400w/public/images/source/social_login_vuln_news.png?itok=fdQkTjpS)
Уязвимость CVE-2023-2982, выявленная командой Wordfence, классифицируется как обход аутентификации. Эксплойт с целью получения доступа к чужому аккаунту возможен в том случае, когда известен имейл-адрес, используемый в качестве ID. Если владельцем учетной записи является админ, успешная атака приведет к полной компрометации сайта.
Причиной появления уязвимости, по словам экспертов, является наличие вшитого в код криптоключа, используемого для защиты данных в ходе авторизации. Степень опасности угрозы оценена в 9,8 балла CVSS — как критическая. Наличие проблемы подтверждено для всех прежних версий Social Login, в том числе 7.6.4, вышедшей 12 июня.
Пользователям рекомендуется в кратчайшие сроки обновить плагин до сборки 7.6.5.
Для просмотра ссылки необходимо нажать
Вход или Регистрация