CVE-2026-118185

WysokieCVSS 7.5

Opublikowano: 31/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Security Optimizer w wersji przed 1.6.9 nie ogranicza liczby kodów uwierzytelniania dwuskładnikowego, które można przesłać dla oczekującego logowania. Umożliwia to atakującemu znającemu hasło użytkownika brute force drugiego składnika i przejęcie konta.

Ocena ryzyka

Atakujący, który zna hasło użytkownika, może zgadywać kody 2FA bez ograniczeń i ostatecznie przejąć konto. Stanowi to poważne zagrożenie dla bezpieczeństwa kont i danych.

Rekomendacja

Zaktualizuj wtyczkę Security Optimizer do wersji 1.6.9 lub nowszej. Rozważ włączenie dodatkowych mechanizmów ograniczania prób logowania.

Inne podatności w Security Optimizer

CVE-2026-13342Średnie
Wtyczka Security Optimizer dla WordPressa od wersji 1.5.8 do 1.6.4 nieprawidłowo weryfikuje żądania do opcjonalnej funkcji ograniczenia logowania opartej na adresie IP. Umożliwia to ominięcie ograniczenia, tak że nieuwierzytelnione żądania z adresów IP spoza listy dozwolonych mogą dotrzeć do formularza logowania i go użyć, niwecząc kontrolę dostępu skonfigurowaną przez administratora.

Oryginalny opis (angielski, źródło NVD)

The Security Optimizer WordPress plugin before 1.6.9 does not limit the number of two-factor authentication codes that can be submitted for a pending login, allowing an attacker who already knows a user's password to brute force the second factor and take over the account.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS