Krytyczna luka w miniOrange Social Login umożliwia przejęcie konta administratora

Co wiadomo

Wtyczka miniOrange Social Login and Register dla WordPressa do wersji 7.7.0 posiada krytyczną lukę pozwalającą na ominięcie uwierzytelniania i przejęcie konta administratora. Luka wynika z braku weryfikacji adresu e-mail w procesie uzupełniania profilu oraz słabego mechanizmu OTP, co umożliwia atakującemu szybkie złamanie kodu i zalogowanie się jako dowolny użytkownik.

Wpływ biznesowy

Eksploatacja tej luki pozwala nieautoryzowanym osobom na uzyskanie pełnych uprawnień administratora w systemie WordPress, co może prowadzić do całkowitej kompromitacji witryny, utraty danych, a także wykorzystania zasobów do dalszych ataków. Zagrożenie jest szczególnie poważne dla firm korzystających z tego pluginu do uwierzytelniania społecznościowego.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki miniOrange Social Login i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji logowania społecznościowego, monitorować logi pod kątem podejrzanych prób logowania oraz rozważyć tymczasowe wyłączenie wtyczki. Warto także przeprowadzić audyt kont administratorów i zmienić hasła po aktualizacji.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference