Luka uwierzytelniania w LoginPress Pro przez dodatek Spotify Social Login

Co wiadomo

Wtyczka LoginPress Pro dla WordPress do wersji 6.2.3 wraz z dodatkiem Spotify Social Login umożliwia atakującemu obejście uwierzytelniania. Problem wynika z braku weryfikacji adresu e-mail zwracanego przez Spotify, co pozwala na zalogowanie się jako dowolny użytkownik, w tym administrator.

Wpływ biznesowy

Atakujący mogą uzyskać nieautoryzowany dostęp do kont WordPress, w tym kont z uprawnieniami administratora, co stwarza poważne ryzyko dla integralności i bezpieczeństwa witryny. Może to prowadzić do przejęcia kontroli nad stroną, modyfikacji treści lub wycieku danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LoginPress Pro i dodatku Spotify Social Login oraz ich instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji logowania przez Spotify, monitorować logi pod kątem podejrzanych logowań oraz rozważyć tymczasowe wyłączenie dodatku. Priorytetowo traktuj ocenę ryzyka i wdrożenie środków zapobiegawczych.

Źródła

• NVD
• Reference
• Reference