Критична вразливість обходу авторизації у плагіні WPMobile.App для WordPress

Що відомо

Плагін WPMobile.App для WordPress (версії до 11.82 включно) має критичну вразливість обходу авторизації, що дозволяє неавторизованим зловмисникам отримувати URL для скидання паролів користувачів, включно з адміністраторами. Ця вразливість активується за умови ввімкнення функції mail-to-push, яка дублює листи зі скиданням пароля у чергу push-повідомлень.

Бізнес-вплив

Зловмисники можуть отримати контроль над обліковими записами користувачів WordPress, використовуючи викрадені URL скидання пароля, що ставить під загрозу безпеку сайту та конфіденційність даних. Це може призвести до несанкціонованого доступу, втрати даних або порушення роботи вебресурсу. Власникам інфраструктури слід розглянути ризики, пов’язані з експлуатацією цієї вразливості, особливо якщо використовується функція mail-to-push.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна WPMobile.App та встановити їх, якщо вони доступні. Якщо оновлення неможливе, слід тимчасово відключити функцію mail-to-push (wpmobile_auto_mail=1) для запобігання витоку URL скидання пароля. Також варто провести аудит логів на предмет підозрілої активності та обмежити доступ до черги push-повідомлень. DataHouse підтримує перевірку версій плагінів і допомагає у зниженні мережевої експозиції та аналізі логів для підвищення безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference