asVereinbase、認証なしで管理者ログイン可能 修正版1.1.8あり
Summary
WordPress用プラグイン asVereinbase の 1.1.8 より前の版に、パスワードも本物の第2要素も確認せずにログインを許してしまう欠陥が見つかりました。インターネットから誰でも、管理者を含む任意の利用者になりすませる可能性があります。修正版 1.1.8 が出ているため、使用中のサイトは早急に更新し、あわせて管理者アカウントの状況を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
WordPress用プラグイン asVereinbase の 1.1.8 より前の版に、パスワードも本物の第2要素も確認せずにログインを許してしまう欠陥が見つかりました。インターネットから誰でも、管理者を含む任意の利用者になりすませる可能性があります。修正版 1.1.8 が出ているため、使用中のサイトは早急に更新し、あわせて管理者アカウントの状況を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| CVE | asVereinbase |
< 1.1.8 |
1.1.8 |
Original description The description as published by the source.
The asVereinbase WordPress plugin before 1.1.8 does not require a valid password or a genuine second factor before authenticating a user, treating an empty stored value as a match, so an unauthenticated attacker can log in as any user, including an administrator.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com