CVE-2026-110135

WysokieCVSS 7.4

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress OTP Login & Register Woocommerce w wersji przed 2.7.3 nie ogranicza odpowiednio liczby prób weryfikacji jednorazowego hasła, ponieważ limit prób jest śledzony na podstawie wartości dostarczanej przez klienta, którą można dowolnie zmieniać. Umożliwia to nieuwierzytelnionemu atakującemu obejście limitu i brute-force krótkiego numerycznego kodu logowania w celu przejęcia konta bez znajomości hasła.

Ocena ryzyka

Atakujący może przejąć konto użytkownika bez znajomości hasła, co prowadzi do nieautoryzowanego dostępu i potencjalnych dalszych naruszeń.

Rekomendacja

Zaktualizuj wtyczkę OTP Login & Register Woocommerce do wersji 2.7.3 lub nowszej.

Inne podatności w OTP Login & Register Woocommerce WordPress plugin

CVE-2026-12402Średnie
Wtyczka OTP Login & Register Woocommerce dla WordPressa w wersjach do 2.7.3 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez ustawienie 'fb-config' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, podatność może być wykorzystana do ataku na superadministratora sieci.

Oryginalny opis (angielski, źródło NVD)

The OTP Login & Register Woocommerce WordPress plugin before 2.7.3 does not adequately limit one-time-password verification attempts, because the attempt limit is tracked against a value the client itself supplies and can change freely, allowing an unauthenticated attacker to bypass the limit and brute-force the short numeric login code to take over an account without its password.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS