使用 <= 1.7.26 的电话号码登录 - 由于缺少空值检查而导致身份验证绕过 (CVE-2024-5150)

admin

0
文章

0
评论

2024-05-30 22:34:07 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

使用 <= 1.7.26 的电话号码登录 - 由于缺少空值检查而导致身份验证绕过 (CVE-2024-5150)

CVE编号

CVE-2024-5150

利用情况

暂无

补丁情况

N/A

披露时间

2024-05-29

漏洞描述

WordPress中的电话号码登录插件在1.7.26版本及以下存在身份认证绕过漏洞。原因是'activation_code'默认值为空，且在'lwp_ajax_register'函数中缺少非空检查。这使得未经身份验证的攻击者可以登录为站点上的任何现有用户，例如管理员，如果他们可以访问用户电子邮件。该漏洞在1.7.26版本中得到修复，但在修补程序中存在问题，导致整个功能无法正常工作，在1.7.27版本中修复了该问题。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://plugins.trac.wordpress.org/browser/login-with-phone-number/tags/1.7.2...
https://plugins.trac.wordpress.org/browser/login-with-phone-number/tags/1.7.2...
https://plugins.trac.wordpress.org/browser/login-with-phone-number/tags/1.7.2...
https://plugins.trac.wordpress.org/changeset/3090625/login-with-phone-number
https://plugins.trac.wordpress.org/changeset/3090754/login-with-phone-number
https://www.wordfence.com/threat-intel/vulnerabilities/id/cf34eb9f-f6e9-4a7a-...