WordPress için Sosyal Giriş Eklentisindeki Kritik Güvenlik Hatası, Kullanıcıların Hesaplarını Açığa Çıkarıyor

Byteknomers

Tem 2, 2023 #açığa, #ağ güvenliği, #bilgi Güvenliği, #bilgisayar Güvenliği, #bilgisayar korsanı haberleri, #Çıkarıyor, #Eklentisindeki, #fidye yazılımı kötü amaçlı yazılım, #giriş, #güvenlik, #hack haberleri, #hacker haberleri, #Hatası, #hesaplarını, #için, #Kritik, #Kullanıcıların, #Nasıl heklenir, #siber güncellemeler, #siber güvenlik güncellemeleri, #siber güvenlik haberleri, #Siber güvenlik haberleri bugün, #Siber Haberler, #siber saldırılar, #Sosyal, #veri ihlali, #WordPress, #yazılım güvenlik açığı

29 Haziran 2023Ravie LakshmananWeb Sitesi Güvenliği / Güvenlik Açığı

miniOrange’da kritik bir güvenlik açığı açıklandı Sosyal Giriş ve Kayıt eklentisi e-posta adresi hakkında kullanıcı tarafından sağlanan herhangi bir bilgi zaten bilindiğinden, kötü niyetli bir aktörün oturum açmasını sağlayabilecek WordPress için.

CVE-2023-2982 (CVSS puanı: 9.8) olarak izlenen kimlik doğrulama atlama kusuru, 7.6.4 dahil ve öncesi eklentinin tüm sürümlerini etkiler. 2 Haziran 2023’teki sorumlu açıklamanın ardından 7.6.5 sürümünün yayınlanmasıyla birlikte 14 Haziran 2023’te ele alındı.

Wordfence araştırmacısı István Márton, “Güvenlik açığı, kimliği doğrulanmamış bir saldırganın, siteyi yönetmek için kullanılan hesaplar da dahil olmak üzere bir sitedeki herhangi bir hesaba erişmesini mümkün kılıyor, eğer saldırgan ilişkili e-posta adresini biliyorsa veya bulabilirse,” dedi. söz konusu.

Sorun, sosyal medya hesaplarını kullanarak oturum açma sırasında bilgileri güvence altına almak için kullanılan şifreleme anahtarının sabit kodlanmış olmasından kaynaklanmaktadır, bu da saldırganların kullanıcıyı tanımlamak için kullanılan uygun şekilde şifrelenmiş bir e-posta adresiyle geçerli bir istek oluşturabileceği bir senaryoya yol açmaktadır. .

Hesap, WordPress site yöneticisine aitse, tam bir uzlaşmaya neden olabilir. Eklenti 30.000’den fazla sitede kullanılmaktadır.

Danışmanlık aşağıdakileri takip eder: keşif etkileyen yüksek önem dereceli bir kusurun LearnDash LMS eklentisi100.000’den fazla etkin yüklemeye sahip bir WordPress eklentisi olup, mevcut hesabı olan herhangi bir kullanıcının, yönetici erişimi olanlar da dahil olmak üzere rastgele kullanıcı parolalarını sıfırlamasına izin verebilir.

Hata (CVE-2023-3105, CVSS puanı: 8.8), 6 Haziran 2023’te gönderilen 4.6.0.1 sürümünde yamalandı.

Ayrıca Patchstack’ten haftalar sonra gelir. detaylı siteler arası istek sahteciliği (CSRF) güvenlik açığı UpdraftPlus eklentisi (CVE-2023-32960, CVSS puanı: 7.1), kimliği doğrulanmamış bir saldırganın, hazırlanmış bir WordPress site URL’sini ziyaret etmesi için yönetici izinlerine sahip bir kullanıcıyı kandırarak hassas verileri çalmasına ve ayrıcalıkları yükseltmesine olanak verebilir.

siber-2