Một lỗ hổng bỏ qua xác thực nghiêm trọng đã được tiết lộ trong plugin Really Simple Security (trước đây là Really Simple SSL) cho WordPress, nếu bị khai thác thành công, có thể cấp cho kẻ tấn công quyền truy cập quản trị từ xa vào một trang web nhạy cảm.
Lỗ hổng, được theo dõi là CVE-2024-10924 (điểm CVSS: 9.8), ảnh hưởng đến cả phiên bản miễn phí và cao cấp của plugin. Phần mềm được cài đặt trên hơn 4 triệu trang web WordPress.
Sau khi tiết lộ có trách nhiệm vào ngày 6 tháng 11 năm 2024, thiếu sót đã được vá trong phiên bản 9.1.2 được phát hành một tuần sau đó. Nguy cơ lạm dụng có thể xảy ra này đã thúc đẩy các nhà bảo trì plugin làm việc với WordPress để buộc cập nhật tất cả các trang web chạy plugin này trước khi tiết lộ công khai.
Theo Wordfence, lỗ hổng bỏ qua xác thực, được tìm thấy trong các phiên bản 9.0.0 đến 9.1.1.1, phát sinh từ việc xử lý lỗi kiểm tra người dùng không đúng cách trong một chức năng gọi là "check_login_and_get_user", do đó cho phép những kẻ tấn công chưa được xác thực đăng nhập với tư cách là người dùng tùy ý, bao gồm cả quản trị viên, khi xác thực hai yếu tố được bật.
Việc khai thác thành công lỗ hổng có thể gây ra hậu quả nghiêm trọng, vì nó có thể cho phép các tác nhân độc hại chiếm quyền điều khiển các trang web WordPress và tiếp tục sử dụng chúng cho mục đích tội phạm.
Tiết lộ được đưa ra vài ngày sau khi Wordfence tiết lộ một thiếu sót nghiêm trọng khác trong Hệ thống quản lý học tập WPLMS cho WordPress, WordPress LMS (CVE-2024-10470, điểm CVSS: 9.8) có thể cho phép các tác nhân đe dọa chưa được xác thực đọc và xóa các tệp tùy ý, có khả năng dẫn đến thực thi mã.
Cụ thể, chủ đề, trước phiên bản 4.963, "dễ bị đọc và xóa tệp tùy ý do không đủ xác thực đường dẫn tệp và kiểm tra quyền", cho phép kẻ tấn công chưa được xác thực xóa các tệp tùy ý trên máy chủ.