CVE-2024-12857

AdForest WordPress Theme — Authentication Bypass przez OTP (do v5.1.8)

CVSS 9.8v3.1pub. 2025-01-22upd. 2025-01-24

Motyw AdForest dla WordPress zawiera podatność typu authentication bypass umożliwiającą nieuwierzytelnionemu atakującemu zalogowanie się jako dowolny użytkownik serwisu. Błąd jest krytyczny (CVSS 9.8), ponieważ nie wymaga żadnych uprawnień ani interakcji ofiary.

▸ Pokaż oryginał (EN)

The AdForest theme for WordPress is vulnerable to authentication bypass in all versions up to, and including, 5.1.8. This is due to the plugin not properly verifying a user's identity prior to logging them in as that user. This makes it possible for unauthenticated attackers to authenticate as any user as long as they have configured OTP login by phone number.

🤖 Analiza AI

Jak działa

Motyw nie weryfikuje prawidłowo tożsamości użytkownika przed jego zalogowaniem w mechanizmie logowania przez OTP (jednorazowy kod SMS). Atakujący bez żadnego konta może wysłać odpowiednio spreparowane żądanie i uwierzytelnić się jako wybrany użytkownik, pod warunkiem że ten użytkownik ma skonfigurowane logowanie przez numer telefonu. Luka wynika z braku właściwej weryfikacji tożsamości (CWE-288, CWE-306) — serwer nie sprawdza poprawnie, czy żądający faktycznie posiada dostęp do danego numeru telefonu.

Skutki

Atakujący może przejąć konto dowolnego użytkownika — w tym konto administratora — i uzyskać pełną kontrolę nad witryną WordPress, co obejmuje dostęp do danych, możliwość modyfikacji treści oraz instalacji złośliwego oprogramowania.

Mitygacja

Należy jak najszybciej zaktualizować motyw AdForest do wersji wyższej niż 5.1.8. Do czasu aktualizacji zaleca się wyłączenie funkcji logowania przez OTP/numer telefonu. Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

Motyw AdForest (Scriptsbundle) dla WordPress — wszystkie wersje do 5.1.8 włącznie, w instalacjach gdzie użytkownicy mają skonfigurowane logowanie OTP przez numer telefonu.