CVE-2026-14262

WysokieCVSS 8.8

Opublikowano: 11/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

Wtyczka Simple JWT Login dla WordPressa do wersji 3.6.6 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania i eskalację uprawnień. Atakujący z dostępem na poziomie subskrybenta może wstrzyknąć adres e-mail administratora do parametru `payload`, co skutkuje wygenerowaniem JWT z tożsamością administratora i uzyskaniem pełnej sesji administracyjnej.

Ocena ryzyka

Organizacja narażona jest na przejęcie konta administratora przez uwierzytelnionego atakującego z niskimi uprawnieniami, co może prowadzić do całkowitej kompromitacji witryny WordPress, w tym kradzieży danych i instalacji złośliwego oprogramowania.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Simple JWT Login do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się tymczasowe wyłączenie wtyczki lub ograniczenie dostępu do endpointów REST za pomocą zapory aplikacyjnej (WAF).

Inne podatności w Simple JWT Login

CVE-2026-19714Krytyczne
Wtyczka Simple JWT Login dla WordPressa przed wersją 3.6.8 nie weryfikuje grupy odbiorców (audience) tokenów tożsamości Google, co pozwala nieuwierzytelnionym użytkownikom na uwierzytelnienie się jako dowolny użytkownik, którego adres e-mail znajduje się w tokenie, włącznie z administratorem. Dotyczy to wszystkich instalacji z włączonym logowaniem przez Google.

Oryginalny opis (angielski, źródło NVD)

The Simple JWT Login – Allows you to use JWT on REST endpoints. plugin for WordPress is vulnerable to Authentication Bypass to Privilege Escalation in all versions up to, and including, 3.6.6 via the `payload` parameter. The vulnerability exists because `AuthenticateService::generatePayload()` only overwrites JWT payload keys whose names appear in the admin-configured `jwt_payload` list — leaving any attacker-supplied identity claims such as `email`, `id`, or `username` intact and signed into the JWT with the site's HS256 secret. This makes it possible for authenticated attackers, with subscriber-level access and above, to escalate their privileges to that of an Administrator by injecting a target administrator's email address into the `payload` parameter at the `/wp-json/simple-jwt-login/v1/auth` endpoint, then redeeming the resulting JWT at the `/autologin` endpoint to obtain a fully authenticated session as that administrator.