CVE-2023-2982 (CVSS skóre: 9,8), chyba vynechání autentizace má dopad na všechny verze pluginu, včetně verze 7.6.4 a starší.
"Tato chyba zabezpečení umožňuje neověřenému útočníkovi získat přístup k jakémukoli účtu na webu, včetně účtů používaných ke správě webu, pokud útočník zná nebo může najít přidruženou e-mailovou adresu," řekl István Márton, výzkumník Wordfence.
Šifrovací klíč používaný k zabezpečení informací během přihlašování pomocí účtů sociálních médií je pevně zakódován, což vede ke scénáři, kdy by útočníci mohli vytvořit platný požadavek se správně zašifrovanou e-mailovou adresou použitou k identifikaci uživatele.
Pokud by účet patřil správci webu WordPress, mohlo by to vést k úplnému kompromisu. Plugin se používá na více než 30 000 webech.
Toto upozornění následuje po zjištění velmi závažné chyby ovlivňující plugin LearnDash LMS, plugin WordPress s více než 100 000 aktivními instalacemi, který by mohl umožnit každému uživateli s existujícím účtem resetovat libovolná uživatelská hesla, včetně těch s administrátorským přístupem.
Chyba (CVE-2023-3105, skóre CVSS: 8.8) byla opravena ve verzi 4.6.0.1, která byla odeslána 6. června 2023.
Přichází také týdny poté, co Patchstack podrobně popsal chybu zabezpečení mezi webovými žádostmi (CSRF) v pluginu UpdraftPlus (CVE-2023-32960, CVSS skóre: 7,1), která by mohla umožnit neověřenému útočníkovi ukrást citlivá data a zvýšit oprávnění oklamáním uživatele, s oprávněním správce k návštěvě vytvořené adresy URL webu WordPress.