UserPro 插件是由 DeluxeThemes 开发的 WordPress 流行社区和用户配置文件工具，被发现存在重大安全漏洞。

该插件被超过 20,000 个网站使用，使用户能够创建可定制的前端配置文件和社区网站。

Patchstack 发现了插件密码重置机制中的严重缺陷，特别是在 userpro_process_form 函数中，该缺陷允许未经身份验证的用户在某些条件下更改其他用户的密码。

该漏洞编号为 CVE-2024-35700，是由于密码重置过程中使用的“密钥”处理不当造成的。该功能无法正确验证密钥，从而使攻击者能够利用这种疏忽并获得对用户帐户的未经授权的访问。

UserPro 插件的漏洞被认为是严重的，因为它允许潜在的攻击者使用密钥集更改用户的密码，这通常在用户请求重置密码时使用。

攻击者可以通过启动密码重置，然后在合法用户完成该过程之前拦截或操纵密钥来利用此漏洞。

Patchstack 警告说：“请注意，在默认安装和激活 UserPro 插件时，无需特定要求或配置即可重现此漏洞。”

该公司于 2024 年 5 月 21 日将该问题添加到其漏洞数据库中，并于第二天发布了公开公告。此漏洞存在于 UserPro 插件的所有版本中，最高版本为 5.1.8。供应商迅速做出回应，于 2024 年 4 月 29 日发布了修补版本 5.1.9。

Patchstack 建议所有 UserPro 用户立即将其插件更新到至少版本 5.1.9。

“这里讨论的漏洞强调了保护插件各个方面安全的重要性，特别是那些旨在更改用户密码的漏洞” Patchstack 写道。 “始终确保传递给关键函数以更新用户密码的对象或变量已经过验证并事先经过检查。”

文章原文链接:https://www.anquanke.com/post/id/296740