یک آسیب‌پذیری با شناسه CVE-2024-10245 و با شدت 9.8 (بحرانی) در افزونه Relais 2FA کشف شده است. افزونه Relais 2FA از طریق احرازهویت دو مرحله‌ای یک لایه امنیت را به سیستم ورود، وردپرس اضافه می‌کند. مهاجم برای ورود به حساب کاربران باید علاوه بر رمز عبور خود، کد OTP یا نوع دیگری از تاییدیه را که اغلب از طریق ایمیل یا برنامه هایی مانند Google Authenticator به دست آورد. این نقص امنیتی به دلیل عدم بررسی صحیح اعتبارسنجی و سطح دسترسی در تابع rl_do_ajax ایجاد می‌شود.از این تابع جهت اجرای عملیات AJAX استفاده می‌شود. اما در نسخه‌های آسیب‌پذیر، این تابع درستی سطح دسترسی و اعتبارسنجی را بررسی نمی‌کند. این امکان برای مهاجم فرهم می‌شود با دسترسی به آدرس ایمیل کاربر، بتوانند بدون ورود به سایت وارد شود. این دسترسی شامل حساب‌های مدیریتی نیز می گردد که امکان کنترل کامل روی سایت را نیز برای مهاجم به همراه دارد.
محصولات تحت تاثیر
نسخه 1.0 و نسخه های قبل تر از آن تحت تاثیر این آسیب‌پذیری هستند.
توصیه‌های امنیتی
به کاربران توصیه می‌شود که در اسرع وقت افزونه به نسخه بالاتراز 1.0به روزرسانی گردد، و از سایر افزونه‌های شناخته شده و معتبر جهت احراز هویت دو مرحله‌ای استفاده کنید.
منبع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2024-10245
[2]https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/relais-2fa/relais-2fa-10-a…
[3]https://www.cvedetails.com/cve/CVE-2024-10245//
- 58