CVE-2026-12988
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WP 2FA dla WordPressa przed wersją 3.1.1.2 nie weryfikuje, czy adres e-mail podany podczas konfiguracji uwierzytelniania dwuskładnikowego należy do użytkownika. Pozwala to atakującemu, który zdobył dane logowania ofiary, na przekierowanie kodu weryfikacyjnego na kontrolowany przez siebie adres e-mail i przejęcie konta.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta użytkownika przez atakującego, który uzyskał jego dane logowania, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych lub dalszych ataków w organizacji.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WP 2FA do wersji 3.1.1.2 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w WP 2FA
Zobacz wszystkie- CVE-2026-62142Wysokie
Podatność na Cross-Site Request Forgery (CSRF) w WP 2FA od Melapress umożliwia ataki CSRF. Problem dotyczy WP 2FA w wersjach od n/a do 4.1.0.
- CVE-2026-103514Wysokie
Wtyczka WordPress WP 2FA w wersji przed 4.1.0 nie unieważnia jednorazowego kodu czasowego (TOTP) po jego użyciu. Umożliwia to atakującemu znającemu hasło konta i mającemu wgląd w ważny kod w oknie jego ważności ponowne użycie kodu i obejście uwierzytelniania dwuskładnikowego, w tym na kontach administratorów.
- CVE-2026-15372Wysokie
Wtyczka WP 2FA do WordPressa przed wersją 4.1.0 nie weryfikuje drugiego czynnika uwierzytelniania, gdy wybrana jest jedna z obsługiwanych metod podczas logowania, co pozwala atakującemu, który zna hasło użytkownika, na ominięcie dwuskładnikowego uwierzytelniania i pełny dostęp do konta, w tym kont administratora.
- CVE-2025-12628Średnie
Wtyczka WP 2FA dla WordPressa nie generuje kodów zapasowych z wystarczającą entropią, co może pozwolić atakującym na ominięcie drugiego czynnika uwierzytelniania poprzez ich brutalne odgadnięcie.
Oryginalny opis (angielski, źródło NVD)
The WP 2FA WordPress plugin before 3.1.1.2 does not verify that the email address supplied during two-factor authentication setup belongs to the user, allowing an attacker who has obtained a user's credentials to redirect the setup verification code to an attacker-controlled email address and take over the account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS