Il plug-in di accesso e registrazione social WordPress di miniOrange è interessato da un bypass di autenticazione critico
Il plug-in WordPress Social Login e Registrati di miniOrange è stato interessato da un bug critico di bypass dell’autenticazione
30 giugno 2023
Un difetto critico di bypass dell’autenticazione nel plug-in Social Login e Registrazione di WordPress di miniOrange può consentire l’accesso a qualsiasi account su un sito.
I ricercatori di Wordfence hanno scoperto una vulnerabilità di bypass dell’autenticazione in Plug-in di accesso e registrazione social WordPress di miniOrangeche può consentire a un utente malintenzionato non autenticato di accedere a qualsiasi account su un sito conoscendo l’indirizzo e-mail associato.
Il plug-in di accesso social di WordPress consente l’accesso social, la condivisione e i commenti sui social utilizzando app ampiamente utilizzate come Facebook, Google, LinkedIn, Twitter, Apple, Discord, Twitch, Line, Wechat e altre 40 app disponibili. Invece di richiedere ai visitatori di perdere tempo compilando il tipico modulo di registrazione, consente loro di registrarsi/accedere a un sito Web utilizzando i propri profili di social media.
Il plugin è installato attivamente su più di 30.000 siti Web WordPress. Il difetto, tracciato come CVE-2023-2982 (Punteggio CVSS: 9.8) influisce sulle versioni fino alla 7.6.4 inclusa.
“Ciò è dovuto alla crittografia insufficiente fornita all’utente durante un accesso convalidato tramite il plugin. Ciò consente agli aggressori non autenticati di accedere come qualsiasi utente esistente sul sito, ad esempio un amministratore, se conoscono l’indirizzo e-mail associato a quell’utente. si legge il consultivo pubblicato da WordFence. “Questo è stato parzialmente corretto nella versione 7.6.4 e completamente risolto nella versione 7.6.5.”
I ricercatori hanno scoperto che la chiave di crittografia utilizzata per proteggere le informazioni utilizzate durante il processo di accesso tramite gli account dei social media è codificata e non era univoca per l’installazione di WordPress.
“Ciò consente agli aggressori di creare una richiesta valida contenente un indirizzo e-mail adeguatamente crittografato che le versioni vulnerabili del plug-in utilizzano durante il processo di accesso per identificare l’utente.” continua la relazione. “In definitiva, ciò consente agli autori delle minacce di aggirare l’autenticazione e ottenere l’accesso ad account arbitrari su siti che eseguono una versione vulnerabile del plugin.”
Se l’aggressore si impossessa degli account utente privilegiati, sarà in grado di compromettere completamente un sito WordPress utilizzando il plugin vulnerabile.
Di seguito è riportata la cronologia di questo problema:
28 maggio 2023 – Scoperta della vulnerabilità Authentication Bypass nell’accesso e nella registrazione social di WordPress.
30 maggio 2023 – Avviamo il contatto con il fornitore del plugin chiedendogli di confermare la casella di posta per gestire la discussione.
2 giugno 2023 – Il venditore conferma la casella di posta per gestire la discussione.
2 giugno 2023 – Inviamo i dettagli completi della divulgazione. Il fornitore riconosce la segnalazione e inizia a lavorare su una soluzione.
2 giugno 2023 – Gli utenti di Wordfence Premium, Care e Response ricevono una regola firewall per fornire protezione contro eventuali exploit che potrebbero colpire questa vulnerabilità. Tieni presente che abbiamo ritardato la regola del firewall per evitare di interrompere completamente le funzionalità principali del plug-in.
14 giugno 2023 – Viene rilasciata una versione completamente patchata del plugin, 7.6.5.
2 luglio 2023 – Gli utenti di Wordfence Free ricevono la stessa protezione.
Seguimi su Twitter: @securityaffairs E Facebook E Mastodonte
(Affari di sicurezza – hacking, WordPress)