CVE-2020-35590

LimitLoginAttempts.php in the limit-login-attempts-reloaded plugin before 2.17.4 for WordPress allows a bypass of (per IP address) rate limits because the X-Forwarded-For header can be forged. When the plugin is configured to accept an arbitrary header for the client source IP address, a malicious user is not limited to perform a brute force attack, because the client IP header accepts any arbitrary string. When randomizing the header input, the login count does not ever reach the maximum allowed retries.

LimitLoginAttempts.php in the limit-login-attempts-reloaded plugin before 2.17.4 for WordPress allows a bypass of (per IP address) rate limits because the X-Forwarded-For header can be forged. When the plugin is configured to accept an arbitrary header for the client source IP address, a malicious user is not limited to perform a brute force attack, because the client IP header accepts any arbitrary string. When randomizing the header input, the login count does not ever reach the maximum allowed retries.

El archivo LimitLoginAttempts.php en el plugin limit-login-Attempts-reloaded versiones anteriores a 2.17.4 para WordPress, permite una omisión de los límites de velocidad (por dirección IP) porque el encabezado X-Fordered-For puede ser falsificado. Cuando el plugin está configurado para aceptar un encabezado arbitrario para la dirección IP de origen del cliente, un usuario malicioso no está limitado a realizar un ataque de fuerza bruta, porque el encabezado IP del cliente acepta cualquier cadena arbitraria. Al aleatorizar la entrada del encabezado, el recuento de inicios de sesión nunca alcanza el máximo de reintentos permitidos