Analityczne wykorzystywanie plików cookies
Krytyczna luka uwierzytelniania w wtyczce WordPress Email Verification do wersji 2.0.44
Krytyczna luka w wtyczce WordPress Email Verification umożliwia ominięcie uwierzytelniania i przejęcie konta administratora. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 9.8 CRITICAL
- EPSS
- 37.41%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Email Verification, Email OTP, Block Spam Email, Passwordless login, Hide Login, Magic Login – User Verification dla WordPressa do wersji 2.0.44 zawiera krytyczną lukę umożliwiającą ominięcie uwierzytelniania. Błąd wynika z niewłaściwej walidacji generowania OTP, co pozwala nieautoryzowanym atakującym zalogować się jako dowolny użytkownik z potwierdzonym adresem e-mail, w tym administrator.
Wpływ biznesowy
Luka ta stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress korzystających z tej wtyczki, umożliwiając atakującym przejęcie kont z uprawnieniami administratora bez znajomości hasła. Może to prowadzić do pełnej kompromitacji serwisu, utraty danych oraz dalszych ataków na infrastrukturę IT. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo ją adresować.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych logowań oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt kont użytkowników z uprawnieniami administratora i zmienić hasła.