CVE-2026-14300
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka miniOrange Social Login and Register dla WordPressa przed wersją 7.8.0 nie wiąże jednorazowego kodu używanego w opcjonalnej weryfikacji e-mail z kontem, dla którego został wygenerowany. Pozwala to nieuwierzytelnionemu atakującemu uzyskać ważną sesję dla dowolnego konta, w tym administratora, poprzez żądanie kodu na kontrolowany przez siebie adres e-mail i użycie go wobec adresu ofiary.
Ocena ryzyka
Atakujący może przejąć konto administratora, uzyskując pełną kontrolę nad witryną WordPress, co może prowadzić do kradzieży danych i dalszych ataków.
Rekomendacja
Należy zaktualizować wtyczkę miniOrange Social Login and Register do wersji 7.8.0 lub nowszej.
Inne podatności w WordPress plugin
Zobacz wszystkie- CVE-2026-14234Wysokie
Wtyczka WOLF dla WordPressa przed wersją 1.1.0 nie sprawdza nonce ani uprawnień w jednym ze swoich zapytań AJAX. Pozwala to nieuwierzytelnionemu atakującemu nakłonić zalogowanego administratora do zapisania dowolnej treści, w tym złośliwego skryptu, w poście poprzez żądanie cross-site, co prowadzi do trwałego Cross-Site Scripting (XSS).
- CVE-2026-13690Wysokie
Wtyczka UsersWP dla WordPressa przed wersją 1.2.67 nie weryfikuje wybranego dostawcy uwierzytelniania w obsłudze logowania dwuskładnikowego. Pozwala to atakującemu, który zna dane logowania użytkownika, ominąć drugi czynnik uwierzytelniania i zalogować się jako ten użytkownik.
- CVE-2026-13605Średnie
Wtyczka PhotoSwipe dla WordPressa do wersji 4.1.1.1 używa atrybutu title w linkach dostarczonych przez autora jako podpis lightboxa, zapisywany w DOM strony bez odpowiedniego escapowania. Uwierzytelniony użytkownik z uprawnieniami Autora może przechowywać ładunek JavaScript, który wykona się w przeglądarce każdego odwiedzającego, który kliknie link, w tym administratora.
- CVE-2026-11351Średnie
Wtyczka ShinyStat Analytics dla WordPressa przed wersją 1.0.17 nie wykonuje żadnej kontroli autoryzacji na jednym ze swoich endpointów REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie informacji o nieopublikowanych produktach WooCommerce (np. szkicach, oczekujących lub prywatnych).
Oryginalny opis (angielski, źródło NVD)
The miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) WordPress plugin before 7.8.0 does not bind the one-time code used by its optional email-verification (Profile Completion) feature to the account it was issued for, allowing unauthenticated attackers to obtain a valid session for any account, including administrators, by requesting a code for an email address they control and replaying it against the victim's email address. Exploitation requires the Profile Completion feature to be enabled and social login to be configured.