Analityczne wykorzystywanie plików cookies
Krytyczna luka uwierzytelniania w wtyczce miniOrange OTP Login dla WordPress
Krytyczna luka wtyczki miniOrange OTP Login dla WordPress umożliwia nieautoryzowany dostęp do kont administratorów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 9.8 CRITICAL
- EPSS
- 50.86%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka miniOrange OTP Login, Verification and SMS Notifications dla WordPress do wersji 5.5.5 umożliwia nieautoryzowanym atakującym zalogowanie się jako administrator bez hasła ani weryfikacji OTP. Luka wynika z błędnej obsługi parametru mo_wp_login_intent w funkcji mo_by_pass_login(), co pozwala pominąć standardowe uwierzytelnianie.
Wpływ biznesowy
Ta luka o krytycznym poziomie CVSS 9.8 pozwala atakującym przejąć kontrolę nad kontem administratora WordPress, co może skutkować pełnym przejęciem witryny, modyfikacją treści, instalacją złośliwego oprogramowania lub utratą danych. Zagrożenie jest szczególnie wysokie, gdy wtyczka jest skonfigurowana z określonymi opcjami umożliwiającymi logowanie tylko za pomocą OTP oraz obejściem OTP dla administratorów.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować, czy używają wtyczki miniOrange OTP Login w wersji do 5.5.5 oraz czy aktywne są opcje WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password oraz Admin OTP Bypass. Zaleca się aktualizację wtyczki do najnowszej wersji, jeśli dostępna, lub tymczasowe wyłączenie problematycznych opcji. Dodatkowo warto ograniczyć dostęp do panelu administracyjnego, monitorować logi uwierzytelniania pod kątem podejrzanych prób logowania oraz rozważyć audyt bezpieczeństwa. DataHouse wspiera weryfikację wersji oprogramowania i monitorowanie logów w celu szybkiego wykrycia potencjalnych ataków.