Luka uwierzytelniania w wtyczce JobSearch WP Job Board dla WordPress

Co wiadomo

Wtyczka JobSearch WP Job Board dla WordPress do wersji 2.9.2 włącznie zawiera lukę umożliwiającą pominięcie uwierzytelniania. Błąd wynika z nieprawidłowej konfiguracji funkcji obsługujących logowanie przez Xing i Google, co pozwala nieautoryzowanym atakującym na zalogowanie się jako pierwszy użytkownik Xing lub Google.

Wpływ biznesowy

Atakujący mogą uzyskać nieautoryzowany dostęp do kont użytkowników Xing lub Google powiązanych z witryną, co może prowadzić do przejęcia sesji i potencjalnego dostępu do wrażliwych danych. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka, zwłaszcza jeśli umożliwiają logowanie przez Xing lub Google.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki i zastosowanie najnowszej wersji, która częściowo naprawia lukę od wersji 2.8.4. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do funkcji logowania przez Xing i Google, monitorować logi pod kątem podejrzanych aktywności oraz priorytetyzować wdrożenie poprawek.

Źródła

• NVD
• Reference
• Reference