CVE-2026-103514
NieznaneStreszczenie
Wtyczka WordPress WP 2FA w wersji przed 4.1.0 nie unieważnia jednorazowego kodu czasowego (TOTP) po jego użyciu. Umożliwia to atakującemu znającemu hasło konta i mającemu wgląd w ważny kod w oknie jego ważności ponowne użycie kodu i obejście uwierzytelniania dwuskładnikowego, w tym na kontach administratorów.
Ocena ryzyka
Obejście 2FA znacząco osłabia ochronę kont, w tym administracyjnych, i może prowadzić do pełnego przejęcia serwisu WordPress. Ryzyko jest wysokie, jeśli hasło wyciekło lub zostało przechwycone.
Rekomendacja
Zaktualizuj wtyczkę WP 2FA do wersji 4.1.0 lub nowszej. Rozważ wymianę haseł i ponowne skonfigurowanie 2FA dla kont o wysokich uprawnieniach.
Inne podatności w WP 2FA
Zobacz wszystkie- CVE-2026-15372Wysokie
Wtyczka WP 2FA do WordPressa przed wersją 4.1.0 nie weryfikuje drugiego czynnika uwierzytelniania, gdy wybrana jest jedna z obsługiwanych metod podczas logowania, co pozwala atakującemu, który zna hasło użytkownika, na ominięcie dwuskładnikowego uwierzytelniania i pełny dostęp do konta, w tym kont administratora.
- CVE-2026-12988Średnie
Wtyczka WP 2FA dla WordPressa przed wersją 3.1.1.2 nie weryfikuje, czy adres e-mail podany podczas konfiguracji uwierzytelniania dwuskładnikowego należy do użytkownika. Pozwala to atakującemu, który zdobył dane logowania ofiary, na przekierowanie kodu weryfikacyjnego na kontrolowany przez siebie adres e-mail i przejęcie konta.
Oryginalny opis (angielski, źródło NVD)
The WP 2FA WordPress plugin before 4.1.0 does not invalidate a time-based one-time passcode once it has been used, allowing an attacker who knows an account's password and has observed a valid code within its validity window to replay it and bypass two-factor authentication, including on administrator accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS