CVE-2026-15372

WysokieCVSS 7.5

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Wtyczka WP 2FA do WordPressa przed wersją 4.1.0 nie weryfikuje drugiego czynnika uwierzytelniania, gdy wybrana jest jedna z obsługiwanych metod podczas logowania, co pozwala atakującemu, który zna hasło użytkownika, na ominięcie dwuskładnikowego uwierzytelniania i pełny dostęp do konta, w tym kont administratora.

Ocena ryzyka

Atakujący może uzyskać pełny dostęp do kont użytkowników, w tym administratorów, co może prowadzić do przejęcia witryny i naruszenia danych.

Rekomendacja

Zaktualizuj wtyczkę WP 2FA do wersji 4.1.0 lub nowszej. Dodatkowo rozważ wdrożenie dodatkowych zabezpieczeń, takich jak monitorowanie logowań i ograniczenia IP.

Inne podatności w WP 2FA

CVE-2026-12988Średnie
Wtyczka WP 2FA dla WordPressa przed wersją 3.1.1.2 nie weryfikuje, czy adres e-mail podany podczas konfiguracji uwierzytelniania dwuskładnikowego należy do użytkownika. Pozwala to atakującemu, który zdobył dane logowania ofiary, na przekierowanie kodu weryfikacyjnego na kontrolowany przez siebie adres e-mail i przejęcie konta.

Oryginalny opis (angielski, źródło NVD)

The WP 2FA WordPress plugin before 4.1.0 does not validate the second authentication factor when one of its supported methods is selected at login, allowing an attacker who already knows a user's password to bypass two-factor authentication and fully access the account, including administrator accounts.