V pluginu Theme My Login byla identifikována kritická bezpečnostní zranitelnost umožňující nepřihlášenému útočníkovi změnit heslo existujícího uživatelského účtu WordPressu.
Plugin slouží k vytváření vlastních přihlašovacích a registračních stránek. Podle WordPress.org má více než 50 000 aktivních instalací.
Mechanismus zneužití
Problém souvisí s nedostatečným ověřováním identity uživatele při změně hesla.
Zranitelnost se nachází ve zpracování parametru user_pass1 a souvisí s filtrem WordPressu wp_pre_insert_user_data.
Plugin za určitých okolností umožňuje zpracovat požadavek na změnu hesla bez dostatečného ověření, zda jej skutečně inicioval oprávněný uživatel.
Útočník tak může změnit heslo jiného uživatelského účtu, včetně účtu s administrátorskými oprávněními.
Následně se může přihlásit pomocí nově nastaveného hesla.
Podmínky zneužití
Zranitelnost se týká instalací WordPress Multisite ve specifických konfiguracích.
Neznamená to tedy, že je automaticky zranitelná každá samostatná instalace WordPressu používající Theme My Login.
Útok nevyžaduje předchozí přihlášení.
Možné následky
Úspěšné zneužití může vést k převzetí administrátorského účtu, instalaci škodlivých pluginů, neoprávněným změnám konfigurace nebo získání citlivých údajů.
V prostředí WordPress Multisite může být dopad zvláště závažný, pokud dojde ke kompromitaci účtu s rozsáhlými oprávněními.
Hodnocení závažnosti
CVSS: 9.8/10 – Kritická 🔴
Dostupnost bezpečnostní opravy
Zranitelnost byla opravena ve verzi 7.2.2.
Výrobce v oficiálním changelogu potvrzuje opravu problému, při kterém mohl požadavek na obnovu hesla v prostředí Multisite přepsat heslo existujícího účtu.
Aktuálně je dostupná také novější verze 7.3.1.
Doporučené kroky
- Doporučujeme bezodkladně aktualizovat Theme My Login minimálně na verzi 7.2.2, ideálně na aktuální verzi 7.3.1 nebo novější.
- U webů, které provozovaly postižené verze v prostředí WordPress Multisite, doporučujeme prověřit historii změn uživatelských hesel.
- Je vhodné zkontrolovat neobvyklá přihlášení administrátorských účtů.
- Doporučujeme prověřit serverové logy a podezřelé požadavky související s obnovou hesel.
- Je vhodné zkontrolovat případné neoprávněné změny uživatelských oprávnění a nově vytvořené účty.
- Pokud aktualizace není okamžitě možná, doporučujeme dočasně deaktivovat postižený plugin.
- Při podezření na kompromitaci doporučujeme obnovit administrátorská hesla, ukončit aktivní uživatelské relace a provést kompletní bezpečnostní analýzu.
Důležité: Samotná aktualizace pluginu nemusí odstranit následky případného předchozího převzetí administrátorského účtu.
Zdroj: https://www.wordfence.com/threat-intel/vulnerabilities/id/53c548be-b8aa-4949-93f8-7b4d73688540
