CVE-2026-13597
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka 微信二维码登陆 dla WordPressa do wersji 1.3 nieprawidłowo weryfikuje żądania webhook WeChat, ponieważ sprawdzanie podpisu zawsze przechodzi, a wygenerowany kod logowania jest ujawniany w odpowiedzi webhook. Pozwala to nieuwierzytelnionemu atakującemu sfałszować zdarzenie logowania dla dowolnej istniejącej nazwy użytkownika, odczytać kod logowania i wykorzystać go poprzez nieuwierzytelnioną akcję AJAX, aby zalogować się jako ten użytkownik, w tym administrator, bez hasła.
Ocena ryzyka
Atakujący może zalogować się jako dowolny użytkownik, w tym administrator, bez znajomości hasła, co prowadzi do pełnego przejęcia witryny.
Rekomendacja
Zaktualizuj wtyczkę 微信二维码登陆 do wersji 1.4 lub nowszej, jeśli jest dostępna, lub rozważ jej usunięcie.
Oryginalny opis (angielski, źródło NVD)
The 微信二维码登陆 WordPress plugin through 1.3 does not properly validate WeChat webhook requests, as its signature check always passes, and it discloses the generated login code in the webhook response. This allows an unauthenticated attacker to forge a login event for any existing username, read the login code, and redeem it through an unauthenticated AJAX action to log in as that user, including an administrator, without a password.