به گزارش کارگروه امنیت سایبربان ، یک آسیب‌پذیری بحرانی با شناسه CVE-2024-11015 و شدت ۹.۸ در افزونه Sign In With Google شناسایی شده است. این آسیب‌پذیری به مهاجمان اجازه می دهد تا احراز هویت را به طور کامل دور بزنند و به سایت های وردپرس دسترسی غیرمجاز پیدا کنند. اولین کاربری که با بهره‌برداری از Google OAuth وارد سیستم شود، و نقش سرپرست را ایفا کند. در نهایت مهاجم می‌تواند کنترل کامل سایت را به دست آورد. علت اصلی بروز این نقص امنیتی در بررسی نادرست مقدار تهی در وروردی تابع authenticate_user است. که به ویژه هنگام مدیریت توکن‌ها دسترسی و اطلاعات کاربر، رخ می‌دهد.
براساس بردار حمله این آسیب‌پذیری CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HN بهره‌برداری از آن از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N)، به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز ندارد (AC:L)، برای انجام حمله به هیچ حساب کاربری با سطح دسترسی خاصی نیاز نیست و به تعامل با کاربر نیاز نیست (PR:N/UI:N)، بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد(S:U)، با بهره‌برداری از این آسیب‌پذیری، دو ضلع از سه ضلع امنیت به میزان بسیار زیادی تحت تأثیر قرار می‌گیرند (C:H/I:H/A:HN).
محصولات آسیب‌پذیر
این آسیب‌پذیری تمام نسخه‌ها را از جمله نسخه 1.8.0 تحت تاثیر قرار می‌دهد.
توصیه امنیتی
جهت رفع این آسیب‌پذیری به کاربران توصیه می‌شود در صورت انتشار نسخه‌های جدید نرم افزار خود را به آن به‌روزرسانی کنید.
مطالب پربازدید
1404/03/25 - 08:09-
تروریسم سایبری
جایزه 10 میلیون دلاری برای گروه هکری نجات دهنده سامانه‌های پدافندی
ایالات متحده اخیراً با اعلام بیانیه‌ای از تعیین جایزه 10 میلیون دلاری برای مرموزترین دشمن سایبری خود به نام مِستر سول خبر داد.
1404/03/28 - 09:08-
تروریسم سایبری
اعتراف منابع صهیونیستی به نفوذ سایبری ایران در پخش تصاویر پشت‌پرده
منابع صهیونیستی به نفوذ سایبری ایران در پخش تصاویر پشت‌پرده اعتراف کردند.
1404/03/27 - 20:40-
آسیا
حمله سایبری به بانک سپه
هکرهای گنجشک درنده(گروهی منتسب به آمریکا) مدعی حمله سایبری به بانک سپه شدند.
یک آسیب‌پذیری بحرانی با شناسه CVE-2024-11015 و شدت ۹.۸ در افزونه Sign In With Google شناسایی شده است.
تازه ترین ها
1404/05/28 - 17:29-
آسیا
اقتصاد عملیات‌های کلاهبرداری سایبری در جنوب شرقی آسیا
به گفته کارشناسان، عملیات‌های کلاهبرداری سایبری در جنوب شرقی آسیا بخشی از یک صنعت غیرقانونی گسترده و در حال تکامل است.
1404/05/28 - 17:13-
هوش مصنوعي
رونمایی از اولین خانواده مجازی اماراتی به رهبری دختر هوش مصنوعی
سازمان دیجیتال دبی از اولین خانواده مجازی اماراتی به رهبری دختر هوش مصنوعی به نام «لطیفه» رونمایی کرد.
1404/05/28 - 12:18-
هوش مصنوعي
آموزش متخصصان محلی در مالزی توسط هواوی
هواوی متعهد شده است که تحت یک ابتکار جدید، 30 هزار متخصص محلی را در مالزی آموزش دهد.
مطالب مرتبط
در این بخش مطالبی که از نظر دسته بندی و تگ بندی مرتبط با محتوای جاری می باشند نمایش داده می‌شوند.
