miniOrange 的 WordPress 社交登录和注册插件受到严重的身份验证绕过漏洞的影响

miniOrange 的 WordPress 社交登录和注册插件中存在一个严重的身份验证绕过缺陷，可以允许访问网站上的任何帐户。



Wordfence 研究人员在 miniOrange 的 WordPress 社交登录和注册插件中发现了一个身份验证绕过漏洞，该漏洞允许未经身份验证的攻击者通过知道关联的电子邮件地址来访问网站上的任何帐户。

WordPress 社交登录插件允许使用 Facebook、Google、LinkedIn、Twitter、Apple、Discord、Twitch、Line、Wechat 等广泛使用的应用程序进行社交登录、社交分享和评论，以及 40 个其他可用的应用程序。 它不需要访问者浪费时间填写典型的注册表单，而是允许他们使用社交媒体个人资料注册/登录网站。

该插件已被积极安装在超过 30,000 个 WordPress 网站上。 该漏洞编号为 CVE-2023-2982（CVSS 评分：9.8），影响 7.6.4 及以下版本。

“这是由于在通过插件验证登录期间提供的用户加密不足。 这使得未经身份验证的攻击者可以以网站上任何现有用户（例如管理员）的身份登录，如果他们知道与该用户关联的电子邮件地址的话。” 阅读 WordFence 发布的公告。 “这在 7.6.4 版本中进行了部分修补，并在 7.6.5 版本中进行了完全修补。”

研究人员发现，用于保护通过社交媒体帐户登录过程中使用的信息的加密密钥是硬编码的，并且对于每个 WordPress 安装来说并不是唯一的。

“这使得攻击者可以制作包含正确加密的电子邮件地址的有效请求，该插件的易受攻击版本在登录过程中使用该地址来确定用户。” 报告继续。 “最终，这使得威胁行为者可以绕过身份验证并访问运行易受攻击版本插件的网站上的任意帐户。”
如果攻击者接管特权用户帐户，他将能够使用易受攻击的插件完全破坏 WordPress 网站。

以下是此问题的时间表：