WordPress 社交登錄插件曝出漏洞，用戶賬戶信息遭泄露

The Hacker News 網站消息，miniOrange 的 WordPress 社交登錄和注冊插件中出現了一個關鍵安全漏洞，該漏洞可能使潛在網絡攻擊者登錄用戶帳戶。（任何用戶提供的有關電子郵件地址信息都是已知的）

據悉，漏洞被追蹤為 CVE-2023-2982（CVSS 得分：9.8），身份驗證繞過漏洞影響包括 7.6.4 之前在內的所有插件版本。2023 年 6 月 2 日，相關組織負責任地發布了 7.6.5 版本，CVE-2023-2982 漏洞問題已于 2023 年 6 月 14 日得到解決。

Wordfence 研究員 István Márton 表示 CVE-2023-2982 漏洞使未經身份認證的網絡攻擊者有可能獲得對網站上任何賬戶的訪問權，甚至包括用于管理網站的賬戶，但前提是攻擊者知道或能夠找到相關的電子郵件地址。

此外，CVE-2023-2982 安全漏洞問題的根源在于用戶使用社交媒體賬戶登錄時，用于保護信息安全的加密密鑰是硬編碼，因此導致了攻擊者可以使用正確加密的電子郵件地址創建有效請求以識別用戶的情況。值得一提的是，存在漏洞的插件在 30000 多個網站上使用。

LearnDash LMS 插件也曾出現其它安全漏洞

發布 CVE-2023-2982 漏洞公告前，安全人員發現一個影響 LearnDash LMS 插件的嚴重漏洞（CVE-2023-3105，CVSS 得分：8.8），該插件是一個擁有超過 100000 個活動安裝的 WordPress 插件，可以允許任何擁有現有帳戶的用戶重置任意用戶密碼，甚至包括具有管理員訪問權限的用戶密碼。好消息是，漏洞已于 2023 年 6 月 6 日發布的 4.6.0.1 版本中完成了修補。

幾周前，Patchstack 也曾詳細介紹 UpdraftPlus 插件中的一個跨站點請求偽造（CSRF）漏洞（CVE-2023-32960，CVSS分數：7.1），該漏洞可能允許未經身份驗證的攻擊者竊取敏感數據，并通過誘騙具有管理權限的用戶訪問特制的 WordPress 網站 URL ，以此來提升自身權限。