A WordPress felhasználói felület egy újabb támadási felületet szolgáltat: a “Really Simple Security” bővítmény (Free, Pro, Pro Multisite) verziói 9.0.0 és 9.1.1.1 között komoly sebezhetőséggel rendelkeznek, mely lehetővé teszi a támadók számára a hitelesítés megkerülését és rendszergazda jogosultságok megszerzését – még akkor is, ha kétfaktoros azonosítás (2FA) aktív!
⚙️ A sérülékenység pontos mechanizmusa
A támadás a check_login_and_get_user függvény hibás REST API hívásán alapul, amelyben a rendszer nem ellenőrzi hitelesen a bejelentkezést. A támadó:
- GET kéréssel hozzáfér az /wp-admin/profile.php endpointhoz – hibaüzenetet kap
- POST-tal meghívja a REST-végpontot, beillesztve egy session cookie-t
- Ezután admin jogosultsággal léphet be a rendszerbe – jelszó- vagy 2FA-hitelesítés nélkül
🛡️ Következmények
Ez a sebezhetőség lehetővé teszi:
- Teljes admin hozzáférést, jelszó és 2FA megkerülésével
- Adatlopást, rosszindulatú kódok telepítését, weboldal-átvételt
✅ Sürgős védelmi lépések
- Frissítsd a bővítményt → 9.1.2 vagy újabb
- Ha nem tudsz azonnal frissíteni: ideiglenes korlátozás
- Használj WAF‑ot (pl. Wordfence vagy iThemes Security)
- Blokkolja a gyakori REST API alapú támadásokat.
- Implementálj automatizált figyelést REST útvonalakra.
- 2FA ideiglenes kikapcsolása (ha aktív)
- Ez nincs helyénvaló önmagában, de használható vészmegoldásként frissítése előtt
- Automatizált monitorozás és riportálás
- n8n-beállítás: REST-útvonalak figyelése + Slack/Email értesítés
- Rendszeres WP-CLI check-lista: verziók és plugin állapotok lekérdezése
🧩 Javasolt lépések
| Lépés | Eszköz/Parancs |
| Verziófrissítés | wp plugin update |
| REST API firewall szabályok telepítése | .htaccess vagy WAF konfiguráció |
| Monitorozás bevezetése | n8n automatizmus, WP-CLI listák |
| Audit, visszatérő ellenőrzés | staging round + automatizált riport |
🧭 Összefoglalás
A CVE‑2024‑10924 súlyos és aktívan kihasznált sebezhetőség – a frissítés és REST API-védelem azonnali szükségességét mutatja. A védelem érdekében javasolt WAF használata, automatizált monitorozás és proaktív ügyfélkommunikáció. Ha segítségre van szükséged, keress minket az elérhetőségeinken.
