Плагин WordPress miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) до версии 7.8.0 не привязывает одноразовый код, используемый его дополнительной функцией проверки электронной почты (завершение профиля), к учетной записи, для которой он был выдан, что позволяет неаутентифицированным злоумышленникам получить действительный сеанс для любой учетной записи, включая администраторов, запрашивая код для адреса электронной почты, который они контролируют, и воспроизводя его против адреса электронной почты жертвы. Для эксплуатации требуется включить функцию завершения профиля и настроить вход через социальную сеть.
Показать оригинальное описание (EN)
The miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) WordPress plugin before 7.8.0 does not bind the one-time code used by its optional email-verification (Profile Completion) feature to the account it was issued for, allowing unauthenticated attackers to obtain a valid session for any account, including administrators, by requesting a code for an email address they control and replaying it against the victim's email address. Exploitation requires the Profile Completion feature to be enabled and social login to be configured.