CVE-2022-0992
KrytyczneStreszczenie
Wtyczka SiteGround Security dla WordPressa jest podatna na obejście uwierzytelniania, co pozwala nieautoryzowanym użytkownikom zalogować się jako użytkownicy administracyjni. Problem wynika z braku weryfikacji tożsamości podczas początkowej konfiguracji 2FA, co umożliwia nieautoryzowanym użytkownikom skonfigurowanie 2FA dla oczekujących kont.
Ocena ryzyka
Atakujący może uzyskać dostęp do kont administracyjnych bez znajomości pary login/hasło, co stwarza poważne zagrożenie dla bezpieczeństwa systemu. Wpływa to na integralność i poufność danych w organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki SiteGround Security do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt kont użytkowników i ich uprawnień.
Oryginalny opis (angielski, źródło NVD)
The SiteGround Security plugin for WordPress is vulnerable to authentication bypass that allows unauthenticated users to log in as administrative users due to missing identity verification on initial 2FA set-up that allows unauthenticated and unauthorized users to configure 2FA for pending accounts. Upon successful configuration, the attacker is logged in as that user without access to a username/password pair which is the expected first form of authentication. This affects versions up to, and including, 1.2.5.