CVE-2023-2437

Pominięcie uwierzytelnienia w pluginie UserPro dla WordPress (logowanie Facebook)

CVSS 9.8v3.1pub. 2023-11-22upd. 2026-04-08

Plugin UserPro dla WordPress w wersjach do 5.1.1 włącznie zawiera krytyczną podatność umożliwiającą ominięcie uwierzytelnienia przez mechanizm logowania via Facebook. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik serwisu, w tym administrator, jeśli zna jego adres e-mail.

▸ Pokaż oryginał (EN)

The UserPro plugin for WordPress is vulnerable to authentication bypass in versions up to, and including, 5.1.1. This is due to insufficient verification on the user being supplied during a Facebook login through the plugin. This makes it possible for unauthenticated attackers to log in as any existing user on the site, such as an administrator, if they have access to the email. An attacker can leverage CVE-2023-2448 and CVE-2023-2446 to get the user's email address to successfully exploit this vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej weryfikacji tożsamości użytkownika podczas procesu logowania przez Facebook realizowanego przez plugin. Atakujący może podać adres e-mail istniejącego konta bez konieczności posiadania hasła ani tokenu uwierzytelniającego. Podatność może być łączona z CVE-2023-2448 oraz CVE-2023-2446, które umożliwiają uzyskanie adresu e-mail ofiary, co pozwala na pełne, łańcuchowe wykorzystanie tej luki.

Skutki

Atakujący może przejąć dowolne konto w serwisie WordPress, w tym konto administratora, uzyskując pełną kontrolę nad witryną — możliwość modyfikacji treści, instalacji złośliwych wtyczek oraz dostępu do danych użytkowników.

Mitygacja

Należy zaktualizować plugin UserPro do wersji wyższej niż 5.1.1. Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się przegląd logów dostępu w celu wykrycia ewentualnych nieautoryzowanych logowań oraz usunięcie lub dezaktywację pluginu do czasu zastosowania aktualizacji.

Kogo dotyczy

Plugin UserPro (User Profiles with Social Login) dla WordPress w wersjach do 5.1.1 włącznie.

Uwagi

Podatność może być wykorzystana łańcuchowo razem z CVE-2023-2448 i CVE-2023-2446 — pierwsza z nich służy do pozyskania adresu e-mail użytkownika, co jest warunkiem skutecznego przeprowadzenia ataku opisanego w niniejszej karcie. Dostępny jest publiczny exploit opublikowany w serwisie Packet Storm Security.