CVE-2023-2982
KrytyczneStreszczenie
Wtyczka WordPress Social Login and Register (Discord, Google, Twitter, LinkedIn) jest podatna na obejście uwierzytelniania w wersjach do 7.6.4 włącznie. Problem wynika z niewystarczającego szyfrowania danych użytkownika podczas logowania, co pozwala nieautoryzowanym atakującym na logowanie się jako dowolny istniejący użytkownik, w tym administrator.
Ocena ryzyka
Organizacja jest narażona na ryzyko, że nieautoryzowani użytkownicy mogą uzyskać dostęp do kont istniejących użytkowników, w tym kont administracyjnych, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 7.6.5 lub nowszej, aby usunąć tę podatność i zabezpieczyć system przed nieautoryzowanym dostępem.
Oryginalny opis (angielski, źródło NVD)
The WordPress Social Login and Register (Discord, Google, Twitter, LinkedIn) plugin for WordPress is vulnerable to authentication bypass in versions up to, and including, 7.6.4. This is due to insufficient encryption on the user being supplied during a login validated through the plugin. This makes it possible for unauthenticated attackers to log in as any existing user on the site, such as an administrator, if they know the email address associated with that user. This was partially patched in version 7.6.4 and fully patched in version 7.6.5.