CVE-2024-5150
Açıklama
WordPress için geliştirilen Login with phone number eklentisi, 1.7.26 sürümü dahil olmak üzere önceki sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, 'activation_code' varsayılan değerinin boş olmasından ve 'lwp_ajax_register' fonksiyonunda boş olup olmadığının kontrol edilmemesinden kaynaklanmaktadır. Bu durum, kullanıcı e-postasına erişimi olan kimliği doğrulanmamış saldırganların, yönetici gibi sitedeki mevcut herhangi bir kullanıcı olarak giriş yapabilmesini mümkün kılmaktadır. Zafiyet 1.7.26 sürümünde yamalanmıştır ancak yamada tüm fonksiyonun çalışmamasına neden olan bir sorun bulunmaktadır ve bu sorun 1.7.27 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| glboy OTP Login With Phone Number, OTP Verification | v ≤ 1.7.26 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.