WordPress Plugin UserPro 安全漏洞(CVE-2023-2437)

CVE编号

CVE-2023-2437

利用情况

暂无

补丁情况

N/A

披露时间

2023-11-23

漏洞描述

由于UserPro插件在通过Facebook登录时未对所提供的用户进行充分验证，导致版本5.1.1及以下存在身份验证绕过漏洞。这使得未经身份验证的攻击者可以登录到站点上的任何现有用户帐户，如管理员，只要他们能够获得邮箱访问权限。攻击者可以利用CVE-2023-2448和CVE-2023-2446获取用户的邮箱地址，成功利用该漏洞。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
http://packetstormsecurity.com/files/175871/WordPress-UserPro-5.1.x-Password-...
https://codecanyon.net/item/userpro-user-profiles-with-social-login/5958681
https://www.wordfence.com/threat-intel/vulnerabilities/id/b3cf9f38-c20e-40dc-...

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com