Плагин WP 2FA WordPress до версии 4.1.0 не проверяет второй фактор аутентификации, когда при входе в систему выбирается один из поддерживаемых методов, что позволяет злоумышленнику, который уже знает пароль пользователя, обойти двухфакторную аутентификацию и получить полный доступ к учетной записи, включая учетные записи администратора.
Показать оригинальное описание (EN)
The WP 2FA WordPress plugin before 4.1.0 does not validate the second authentication factor when one of its supported methods is selected at login, allowing an attacker who already knows a user's password to bypass two-factor authentication and fully access the account, including administrator accounts.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
unknown:wp 2fa