CVE-2024-13772: luka uwierzytelniania w wtyczce Civi dla WordPress

Co wiadomo

Wtyczka Civi - Job Board & Freelance Marketplace dla WordPress do wersji 2.1.6.1 ma lukę umożliwiającą ominięcie uwierzytelniania. Brak losowości haseł i weryfikacji użytkownika w akcjach fb_ajax_login_or_register oraz google_ajax_login_or_register pozwala nieautoryzowanym atakującym zalogować się jako dowolny użytkownik znając jego adres e-mail.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanego dostępu do kont użytkowników, co zagraża integralności i poufności danych w systemie WordPress. Atakujący mogą przejąć kontrolę nad kontami, co może skutkować dalszymi atakami lub nadużyciami w środowisku firmy. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa CMS i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Civi u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji logowania przez Facebook i Google, monitorować logi pod kątem podejrzanych logowań oraz rozważyć dodatkowe mechanizmy uwierzytelniania. Priorytetem jest szybka weryfikacja i wdrożenie poprawek zabezpieczających.

Źródła

• NVD
• Reference
• Reference