CVE-2025-12628
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka WP 2FA dla WordPressa nie generuje kodów zapasowych z wystarczającą entropią, co może pozwolić atakującym na ominięcie drugiego czynnika uwierzytelniania poprzez ich brutalne odgadnięcie.
Ocena ryzyka
Atakujący może ominąć zabezpieczenia dwuskładnikowe i uzyskać nieautoryzowany dostęp do kont użytkowników, co może prowadzić do przejęcia kont i naruszenia danych.
Rekomendacja
Zaktualizuj wtyczkę WP 2FA do najnowszej wersji, która generuje kody zapasowe z odpowiednią entropią.
Inne podatności w WP 2FA
Zobacz wszystkie- CVE-2026-62142Wysokie
Podatność na Cross-Site Request Forgery (CSRF) w WP 2FA od Melapress umożliwia ataki CSRF. Problem dotyczy WP 2FA w wersjach od n/a do 4.1.0.
- CVE-2026-103514Wysokie
Wtyczka WordPress WP 2FA w wersji przed 4.1.0 nie unieważnia jednorazowego kodu czasowego (TOTP) po jego użyciu. Umożliwia to atakującemu znającemu hasło konta i mającemu wgląd w ważny kod w oknie jego ważności ponowne użycie kodu i obejście uwierzytelniania dwuskładnikowego, w tym na kontach administratorów.
- CVE-2026-15372Wysokie
Wtyczka WP 2FA do WordPressa przed wersją 4.1.0 nie weryfikuje drugiego czynnika uwierzytelniania, gdy wybrana jest jedna z obsługiwanych metod podczas logowania, co pozwala atakującemu, który zna hasło użytkownika, na ominięcie dwuskładnikowego uwierzytelniania i pełny dostęp do konta, w tym kont administratora.
- CVE-2026-12988Średnie
Wtyczka WP 2FA dla WordPressa przed wersją 3.1.1.2 nie weryfikuje, czy adres e-mail podany podczas konfiguracji uwierzytelniania dwuskładnikowego należy do użytkownika. Pozwala to atakującemu, który zdobył dane logowania ofiary, na przekierowanie kodu weryfikacyjnego na kontrolowany przez siebie adres e-mail i przejęcie konta.
Oryginalny opis (angielski, źródło NVD)
The WP 2FA WordPress plugin does not generate backup codes with enough entropy, which could allow attackers to bypass the second factor by brute forcing them
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS