WP Captcha PRO (the premium version of the Advanced Google reCAPTCHA plugin, both have the same slug): obejście uwierzytelniania
WP Captcha PRO (the premium version of the Advanced Google reCAPTCHA plugin, both have the same slug)
Obejście uwierzytelniania w komponencie WP Captcha PRO (the premium version of the Advanced Google reCAPTCHA plugin, both have the same slug). Ocena zagrożenia: Wysoka (CVSS 8.8). Zaktualizuj podatny komponent do najnowszej wersji lub tymczasowo go wyłącz.
Kogo dotyczy
Podatność dotyczy: WP Captcha PRO (the premium version of the Advanced Google reCAPTCHA plugin, both have the same slug). Jeśli korzystasz z tego komponentu na swojej stronie, sprawdź wersję i zaktualizuj go jak najszybciej.
Jak groźne
Ocena: Wysoka, CVSS 8.8 w skali 0-10. Warto zareagować, zanim luka zostanie wykorzystana.
Na czym polega ta luka
Obejście uwierzytelniania pozwala uzyskać dostęp lub uprawnienia bez znajomości hasła, wykorzystując błąd w mechanizmie logowania.
Napastnik wchodzi do panelu jak zwykły administrator, bez klasycznych śladów włamania, co utrudnia wykrycie.
Rozbiór oceny (wektor CVSS)
Co ocena CVSS 8.8 oznacza w praktyce:
- Atak można przeprowadzić zdalnie, przez internet.
- Wymaga zwykłego konta o niskich uprawnieniach.
- Nie wymaga żadnego działania ze strony ofiary.
- Zagrożone: poufność danych, integralność (możliwość zmiany danych), dostępność strony.
Klasa słabości: CWE-288.
Jak to naprawić: obejście uwierzytelniania
- Zaktualizuj komponent odpowiedzialny za logowanie do naprawionej wersji w pierwszej kolejności.
- Wymuś reset haseł wszystkich użytkowników i uniewaznij aktywne sesje.
- Włącz uwierzytelnianie dwuskładnikowe dla kont administratorów.
- Przejrzyj listę użytkowników i usuń konta, których nie rozpoznajesz.
Nie chcesz robić tego sam? Zajmiemy się aktualizacją, sprawdzeniem śladów włamania i zabezpieczeniem strony. Napisz do nas →
Najczęstsze pytania
Czy ta luka dotyczy mojej strony?
Dotyczy stron, które używają WP Captcha PRO (the premium version of the Advanced Google reCAPTCHA plugin, both have the same slug). Sprawdź, czy masz ten komponent i w jakiej wersji, luka obejmuje tylko podatny zakres wersji. Możesz to sprawdzić w kilkadziesiąt sekund naszą darmową sprawdzarką podatności.
Jak sprawdzić, czy mam podatną wersję?
W panelu administracyjnym (w WordPressie: Wtyczki / Motywy) sprawdź zainstalowaną wersję WP Captcha PRO (the premium version of the Advanced Google reCAPTCHA plugin, both have the same slug) i porównaj ją z informacją producenta, która podaje wersję z poprawką. Jeśli jest niższa albo nie masz pewności, użyj naszej sprawdzarki, która odczytuje wersje widoczne w kodzie strony.
Jak pilna jest reakcja?
To luka o wadze „Wysoka", potraktuj ją pilnie, groźne podatności bywają wykorzystywane automatycznie już w godzinach od ujawnienia. Zaktualizuj jak najszybciej.
Co, jeśli poprawka jeszcze nie wyszła?
Zanim pojawi się łatka, ogranicz ryzyko: tymczasowo wyłącz podatny komponent, ogranicz dostęp do dotkniętej funkcji albo dodaj regułę WAF blokującą podatne żądanie. Miej aktualną kopię zapasową poza serwerem i obserwuj ślady włamania.
Czy sama aktualizacja wystarczy?
Jeśli strona nie została jeszcze zaatakowana, aktualizacja do wersji z poprawką zamyka lukę. Jeśli są już ślady włamania (nieznane pliki, nowe konta administratora, przekierowania), sama aktualizacja nie cofa włamania, trzeba dodatkowo wyczyścić stronę oraz wymienić hasła i sole (salts) WordPressa.
Czy ta luka dotyczy Twojej strony?
Zrobimy bezpłatny audyt: sprawdzimy wersje, wtyczki i konfigurację, i powiemy wprost, czy jesteś bezpieczny.
Zamów bezpłatny audyt →