CVE-2024-9946: Luka uwierzytelniania w wtyczce Super Socializer dla WordPress

Co wiadomo

Wtyczka Super Socializer do WordPressa (wersje do 7.13.68 włącznie) ma lukę umożliwiającą pominięcie uwierzytelniania poprzez niewystarczającą weryfikację użytkownika zwracanego przez token logowania społecznościowego. Atakujący mogą zalogować się jako dowolny istniejący użytkownik, jeśli znają jego e-mail i użytkownik nie ma konta dla usługi zwracającej token.

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp do kont użytkowników, co może prowadzić do naruszenia danych i eskalacji uprawnień, zwłaszcza jeśli administratorzy korzystają z logowania społecznościowego. Może to zagrozić integralności i bezpieczeństwu witryny oraz danych klientów.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Super Socializer do wersji po 7.13.68, która częściowo łata tę lukę. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp do funkcji logowania społecznościowego, przejrzeć logi pod kątem podejrzanych logowań oraz monitorować konta użytkowników. Warto również rozważyć dodatkowe mechanizmy weryfikacji tożsamości i ograniczyć uprawnienia administratorów korzystających z logowania społecznościowego.

Źródła

• NVD
• Reference
• Reference
• Reference