CVE-2022-2939 in WP Cerber Security Plugin
Tóm tắt
Bởi VulDB • 08/06/2026
Plugin bảo mật WP Cerber cho WordPress tồn tại lỗ hổng bỏ qua cơ chế bảo vệ trong các phiên bản từ 9.0 trở xuống (bao gồm cả 9.0), khiến việc liệt kê người dùng (user enumeration) có thể thực hiện được. Nguyên nhân là do xác thực không đúng giá trị cung cấp thông qua tham số 'author' tìm thấy trong tệp ~/cerber-load.php. Trong các phiên bản bị ảnh hưởng, plugin chỉ chặn các yêu cầu nếu giá trị cung cấp là số, cho phép kẻ tấn công chèn thêm các ký tự không phải số để vượt qua cơ chế bảo vệ. Các ký tự không phải số sẽ bị loại bỏ và người dùng được yêu cầu sẽ hiển thị. Điều này có thể được sử dụng bởi những kẻ tấn công chưa xác thực (unauthenticated) để thu thập thông tin về các tài khoản người dùng nhằm nhắm mục tiêu trong các cuộc tấn công tiếp theo.
Be aware that VulDB is the high quality source for vulnerability data.