CVE-2026-14495

WysokieCVSS 8.8

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 08/07/2026(UTC)Przetłumaczono: 09/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 34 - wyżej niż 34% wszystkich znanych CVE

Streszczenie

Wtyczka DoLogin Security dla WordPressa do wersji 4.3 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania z powodu niewystarczającej losowości. Funkcja `dologin\s::rrand()` inicjuje generator Mersenne Twister z ziarnem opartym na mikrosekundach, co ogranicza entropię do około 20 bitów, a następnie generuje 32-znakowy token magicznego linku w sposób deterministyczny. Nieuwierzytelniony atakujący może brutalnie wymusić przestrzeń ziarna (około 10^6 kandydatów) i zrekonstruować aktywny token logowania bez hasła, aby uwierzytelnić się jako dowolny użytkownik, w tym administrator.

Ocena ryzyka

Ryzyko dla organizacji jest krytyczne, ponieważ atakujący może przejąć konta użytkowników, w tym administratorów, bez znajomości hasła, wykorzystując jedynie znajomość identyfikatora linku i istniejący, niewygasły link do logowania bez hasła (ważny do 7 dni). Może to prowadzić do całkowitej kompromitacji strony WordPress.

Rekomendacja

Niezwłocznie zaktualizuj wtyczkę DoLogin Security do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji rozważ tymczasowe wyłączenie wtyczki lub ograniczenie dostępu do funkcji logowania bez hasła.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

The DoLogin Security plugin for WordPress is vulnerable to Authentication Bypass via Insufficient Randomness in all versions up to, and including, 4.3. The vulnerability exists because `dologin\s::rrand()` seeds the Mersenne Twister with `mt_srand((double) microtime() * 1000000)` — discarding the integer-seconds component of `microtime()` and constraining the seed to a range of approximately 10^6 values (~20 bits of entropy) — after which every character of the 32-character magic-link token is drawn sequentially with `mt_rand()`, making the entire token a deterministic function of that seed. Because `Pswdless::try_login()` is registered on the unauthenticated `init` hook, resolves the target account by the auto-increment numeric ID embedded in the `?dologin=<id>.<hash>` parameter, performs the hash comparison using a non-constant-time `!=` operator, and then calls `wp_set_auth_cookie()` directly — never passing through `wp_authenticate()` and therefore never triggering the plugin's own `Auth::_has_login_err()` lockout — an unauthenticated attacker can brute-force the ~10^6-candidate seed space to reconstruct an active passwordless login token and authenticate as any targeted user, including administrators, without a password. Exploitation requires that a valid, unexpired passwordless login link (active for up to 7 days) exists for the target account at the time of the attack, and that the numeric link ID is known or guessable from the auto-increment primary key.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS