Kritiek lek in WordPress-plug-in laat aanvaller wachtwoord admin wijzigen

[Captain Kirk]

Een kritieke kwetsbaarheid in de WordPress-plug-in UserPro maakt het mogelijk voor aanvallers om het wachtwoord van elke willekeurige gebruiker te wijzigen, waaronder de admin, en zo de site over te nemen. De ontwikkelaars van UserPro, dat op meer dan twintigduizend websites is geïnstalleerd, werden op 10 mei ingelicht en kwamen op 31 oktober met een patch die het probleem volledig verhelpt.

UserPro biedt WordPress-sites extra gebruikersbeheer, zoals aangepaste registratieformulieren en inlogvensters. Een beveiligingslek in de plug-in, aangeduid als CVE-2023-2449, maakt het mogelijk voor aanvallers om de wachtwoorden van alle gebruikers te wijzigen. Het probleem wordt veroorzaakt doordat de plug-in de standaard wachtwoordresetfunctie van WordPress gebruikt gecombineerd met onvoldoende validatie van de resetfunctie.

"De functie gebruikt de plaintext waarde van de wachtwoordreset-key in plaats van een gehashte waarde, wat inhoudt dat die eenvoudig is te achterhalen en te gebruiken", aldus securitybedrijf Wordfence dat het probleem ontdekte en rapporteerde. Om misbruik van CVE-2023-2449 te kunnen maken moet een aanvaller wel over een andere kwetsbaarheid beschikken, maar twee van dergelijke lekken werden ook door Wordfence ontdekt.

Nadat de ontwikkelaars op 10 mei waren ingelicht kwamen die op 27 juli met een gedeeltelijke oplossing. Op 31 oktober verscheen versie 5.1.5 van de plug-in waarin het probleem volledig is verholpen. Wordfence heeft de details nu openbaar gemaakt. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.

 

bron: https://www.security.nl