PT-2025-10406 · WordPress · Miniorange Social Login/Register Pro Addon

Wesley · Publicado 2025-03-08 · Atualizado 2025-03-13 · CVE-2024-11087

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) Pro Addon para WordPress versões até a 200.3.9 inclusive

Descrição A vulnerabilidade está relacionada à verificação insuficiente do usuário retornado pelo token de login social, permitindo que atacantes não autenticados façam login como qualquer usuário existente no site, como um administrador, caso tenham acesso ao nome de usuário e o usuário não possua uma conta pré-existente para o serviço que retorna o token.

Recomendações Para versões até a 200.3.9 inclusive, atualize para uma versão que inclua a verificação adequada do usuário retornado pelo token de login social para prevenir bypass de autenticação.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2024-11087

Produtos afetados

Miniorange Social Login/Register Pro Addon

Referências · 11

• https://wordfence.com/threat-intel/vulnerabilities/id/f677b257-606a-45f2-ba85-3a56b8df2a3c?source=cve · Nota
• https://twitter.com/cracbot/status/1900139848478187615 · Publicação no Twitter
• https://t.me/cvenotify/113979 · Publicação no Telegram
• https://t.me/cvetracker/18733 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1898539710626025985 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-11087 · Aviso do Fabricante
• https://t.me/cvedetector/19882 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-11087 · Nota de Segurança
• https://miniorange.com · Nota
• https://twitter.com/VulmonFeeds/status/1898278570989924452 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1898276738268078285 · Publicação no Twitter