CVE-2026-12988

ŚrednieCVSS 6.4

Opublikowano: 14/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka WP 2FA dla WordPressa przed wersją 3.1.1.2 nie weryfikuje, czy adres e-mail podany podczas konfiguracji uwierzytelniania dwuskładnikowego należy do użytkownika. Pozwala to atakującemu, który zdobył dane logowania ofiary, na przekierowanie kodu weryfikacyjnego na kontrolowany przez siebie adres e-mail i przejęcie konta.

Ocena ryzyka

Ryzyko polega na możliwości przejęcia konta użytkownika przez atakującego, który uzyskał jego dane logowania, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych lub dalszych ataków w organizacji.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę WP 2FA do wersji 3.1.1.2 lub nowszej, która zawiera poprawkę eliminującą tę podatność.

Inne podatności w WP 2FA

CVE-2026-15372Wysokie
Wtyczka WP 2FA do WordPressa przed wersją 4.1.0 nie weryfikuje drugiego czynnika uwierzytelniania, gdy wybrana jest jedna z obsługiwanych metod podczas logowania, co pozwala atakującemu, który zna hasło użytkownika, na ominięcie dwuskładnikowego uwierzytelniania i pełny dostęp do konta, w tym kont administratora.

Oryginalny opis (angielski, źródło NVD)

The WP 2FA WordPress plugin before 3.1.1.2 does not verify that the email address supplied during two-factor authentication setup belongs to the user, allowing an attacker who has obtained a user's credentials to redirect the setup verification code to an attacker-controlled email address and take over the account.