Un plugin vulnerabil a expus 4 milioane de site-uri WordPress

O vulnerabilitate cu grad de severitate critic în cadrul plugin-ului Really Simple Security din WordPress a expus 4 milioane de site-uri web la preluarea completă.

Urmărită ca CVE-2024-10924 (scor CVSS de 9.8), vulnerabilitatea este descrisă ca fiind o eroare privind ocolirea autentificării ce permite unui atacator neautentificat să se conecteze ca orice utilizator, inclusiv un administrator.

Potrivit echipei de securitate WordPress, vulnerabilitatea există din cauza manipulării necorespunzătoare a erorilor de verificare a utilizatorului în acțiunea API REST în 2 factori a plugin-ului. Mai exact, eroarea este declanșată dacă autentificarea în 2 factori (2FA) este activată.

Cunoscut anterior ca Really Simple SSL și utilizat de mai mult de 4 milioane de site-uri WordPress, plugin-ul Really Simple Security permite administratorilor de site-uri să adauge diverse funcții de securitate, inclusiv 2FA, protecții de autentificare, detectarea vulnerabilităților și multe altele.

Vulnerabilitatea critică a fost identificată într-una dintre funcțiile care adaugă 2FA, care a fost implementată necorespunzător.

Funcția nu gestionează o eroare returnată atunci când verificarea utilizatorului eșuează, ducând astfel la autentificarea utilizatorului pe baza ID-ului furnizat, chiar dacă identificarea nu a fost verificată.

Exploatarea cu succes a CVE-2024-10924 și a altor vulnerabilități de ocolire a autentificării ce oferă acces la conturi cu privilegii ridicate permite atacatorilor să compromită cu ușurință site-urile WordPress vulnerabile.

Actualizările au fost lansate pentru versiunile plugin-urilor Pro și Free pe 12 și, respectiv, 14 noiembrie.

Versiunea 9.1.2 Really Simple Security, care remediază eroarea, a fost lansată automat de echipa WordPress. Toți administratorii de site-uri care utilizează plugin-ul sunt sfătuiți să verifice dacă rulează versiunea remediată.

Sursă: https://www.securityweek.com/critical-plugin-flaw-exposed-4-million-wordpress-websites-to-takeover/