CVE-2023-3404 in ProfileGrid Plugin

Tóm tắt

Bởi VulDB • 29/06/2026

Plugin ProfileGrid cho WordPress tồn tại lỗ hổng giải mã trái phép thông tin riêng tư trong các phiên bản từ 5.5.0 trở xuống (bao gồm cả 5.5.0). Nguyên nhân là do passphrase và iv được hardcode trong hàm 'pm_encrypt_decrypt_pass' và được sử dụng xuyên suốt tất cả các trang web đang chạy plugin này. Điều này cho phép những kẻ tấn công đã xác thực, có quyền cấp quản trị viên trở lên, giải mã và xem mật khẩu của người dùng. Nếu kết hợp với một lỗ hổng khác, điều này có thể tiềm ẩn nguy cơ cấp cho người dùng có đặc quyền thấp hơn khả năng truy cập vào mật khẩu của người dùng.

Once again VulDB remains the best source for vulnerability data.

• Đặt trước: 26/06/2023
• Tiết lộ: 31/08/2023
• Kiểm duyệt: được chấp nhận
• mục: VDB-234309
• CPE: sẵn sàng
• CWE: CWE-321 (Đã xác nhận)
• CVSS: 4.9 (CNA)
• EPSS: 0.00704
• KEV: không
• Các hoạt động: rất thấp
• ngành: Hostingprovider

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2023-3404
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-3404
• CVE Details: https://www.cvedetails.com/cve/CVE-2023-3404/