WordPress: authentication bypass per i plugin “Infinite WP Client” e “WP Time Capsule”

15/01/2020

authentication-by-pass bypass infinite-wp-client plugin wordpress wp-time-capsule

I ricercatori di WebARX hanno scoperto che i plugin WP Client e WP Time Capsule contengono dei bug nella logica di autenticazione, permettendo il bypass di questa e l’accesso come amministratore senza la necessità di conoscere una coppia di credenziali valide.

 

Nel caso del plugin InfiniteWP Client, la logica di autenticazione valida lo username fornito nella richiesta delegando eventuali controlli al codice che si occupa di accogliere la richiesta. Quest’ultimo normalmente blocca tutte le richieste non autenticate ma due di esse (add_site e readd_site) possono passare anche senza autenticazione.
Diventa quindi possibile inviare una richiesta non autenticata ed impersonare un utente arbitrario.

Nel caso del plugin WP Time Capsule, se è presente la stringa IWP_JSON_PREFIX nel payload della richiesta, il codice autentica l’utente con il primo account amministratore disponibile.

Per entrambi i plugin sono disponibili i relativi aggiornamenti, le versioni affette sono:

  • WP Client < 1.9.4.5
  • WP Time capsule < 1.21.16

Se ne consiglia quindi l’aggiornamento immediato.