CVE-2023-3249
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Wtyczka Web3 – Crypto wallet Login & NFT token gating dla WordPress jest podatna na obejście uwierzytelnienia w wersjach do 2.6.0 włącznie. Problem wynika z nieprawidłowego sprawdzania uwierzytelnienia w funkcji 'hidden_form_data'.
Ocena ryzyka
Zagrożenie polega na tym, że uwierzytelnieni atakujący mogą zalogować się jako dowolny istniejący użytkownik na stronie, w tym administrator, jeśli znają nazwę użytkownika.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Należy również monitorować logi dostępu w celu wykrycia potencjalnych nieautoryzowanych prób logowania.
Oryginalny opis (angielski, źródło NVD)
The Web3 – Crypto wallet Login & NFT token gating plugin for WordPress is vulnerable to authentication bypass in versions up to, and including, 2.6.0. This is due to incorrect authentication checking in the 'hidden_form_data' function. This makes it possible for authenticated attackers to log in as any existing user on the site, such as an administrator, if they have access to the username.