CVE-2020-35590
Publiée le 2020-12-21 · Dernière modification le 2026-06-17
Les sites WordPress utilisant l'extension Limit Login Attempts Reloaded (version 2.17.3 et antérieures) sont susceptibles de subir des contournements de limitation de débit s'ils sont configurés pour faire confiance à des en-têtes IP arbitraires. Un attaquant non authentifié peut falsifier ces en-têtes pour contourner les restrictions de connexion et mener des attaques par force brute à haute vitesse afin d'obtenir un accès administratif. Cette opération est facile à exécuter à distance et ne nécessite aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
LimitLoginAttempts.php in the limit-login-attempts-reloaded plugin before 2.17.4 for WordPress allows a bypass of (per IP address) rate limits because the X-Forwarded-For header can be forged. When the plugin is configured to accept an arbitrary header for the client source IP address, a malicious user is not limited to perform a brute force attack, because the client IP header accepts any arbitrary string. When randomizing the header input, the login count does not ever reach the maximum allowed retries.