Vulnerabilitate critică identificată în WordPress

A fost identificată o vulnerabilitate critică de securitate în pluginul WordPress OAuth Single Sign-On (SSO (OAuth Client)), utilizat pe scară largă și dezvoltat de miniOrange, care expune milioane de site-uri WordPress la preluarea completă a controlului de către atacatori la distanță neautentificați.

Vulnerabilitatea, înregistrată sub codul CVE-2026-57807, are un scor CvSS de 9.8/10 și un grad de severitate critic. Aceasta este clasificată ca o eroare de autentificare necorespunzătoare.

Din punct de vedere tehnic, vulnerabilitatea se încadrează în CWE-288 (ocolirea autentificării folosind o cale sau un canal alternativ) și exploatează mecanismul de recuperare a parolei al pluginului.

Mai precis, aceasta exploatează o cale alternativă de autentificare care nu aplică controalele de autentificare. Aceasta corespunde cu CAPEC-50: exploatarea recuperării parolei.

Sunt afectate toate versiunile pluginului până la 38.5.8 inclusiv. Atacul nu necesită autentificare, acces prealabil la cont și nici interacțiune din partea utilizatorului, ceea ce îl face extrem de ușor de exploatat de oriunde de pe internet, cu un nivel redus de complexitate.

Un atacator la distanță neautentificat poate abuza de fluxul vulnerabil de recuperare a parolei din plugin pentru a ocoli complet controalele de autentificare.

Odată ce atacatorul a exploatat site-ul, acesta se poate autentifica ca orice utilizator WordPress de pe site, inclusiv ca administrator, ceea ce duce la compromiterea completă a confidențialității, integrității și disponibilității.

Exploatarea cu succes poate duce la preluarea completă a controlului asupra site-ului, injectarea de conținut rău intenționat, exfiltrarea datelor, instalarea de backdoor-uri și lateral movement în cadrul mediului de hosting.

Nu este disponibil niciun patch oficial din partea miniOrange, dar Patchstack a lansat un patch virtual pentru a bloca încercările de exploatare până la lansarea unei soluții.

Administratorilor de site-uri care utilizează orice versiune până la 38.5.8 li se recomandă cu tărie să dezactiveze și să elimine imediat pluginul din toate instalările WordPress expuse la internet până la lansarea unei actualizări oficiale de securitate.

În cazul în care eliminarea imediată nu este posibilă, administratorii ar trebui să restricționeze accesul la endpoint-urile de autentificare și recuperare a parolei din WordPress folosind reguli ale Web Application Firewall (WAF) sau liste de permisiuni bazate pe adrese IP, pentru a reduce suprafața de atac.

Utilizatorii sunt încurajați să monitorizeze cu atenție repository-ul oficial de pluginuri WordPress și avizele de securitate ale miniOrange pentru a afla când va fi lansată o versiune remediată și să aplice actualizările imediat ce acestea devin disponibile.

Sursă: https://cybersecuritynews.com/wordpress-plugin-vulnerability-miniorange/