CVE-2026-18468
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Login & Register Forms dla WordPressa przed wersją 4.0.2 nie wiąże stanu weryfikacji resetowania hasła z kontem, które jest resetowane, ani z osobą, która ukończyła weryfikację, opierając go na wartości kontrolowanej przez klienta. Umożliwia to nieuwierzytelnionym atakującym przejęcie konta dowolnego użytkownika, który niedawno ukończył weryfikację resetowania, w tym administratora.
Ocena ryzyka
Atakujący może przejąć konto użytkownika, który niedawno wykonał reset hasła, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i funkcji.
Rekomendacja
Zaktualizuj wtyczkę Login & Register Forms do wersji 4.0.2 lub nowszej, która zawiera poprawki wiązania stanu weryfikacji z kontem i sesją.
Inne podatności w Login & Register Forms
Zobacz wszystkie- CVE-2026-18470Wysokie
Wtyczka Login & Register Forms dla WordPressa przed wersją 4.0.2 nie weryfikuje, czy żądanie resetowania hasła pochodzi od właściciela konta, oraz nie maskuje adresu zwracanego w odpowiedzi. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie adresów e-mail zarejestrowanych użytkowników, w tym administratorów.
- CVE-2026-18469Wysokie
Wtyczka Login & Register Forms dla WordPressa przed wersją 4.0.2 nie egzekwuje limitu prób resetowania hasła w odniesieniu do wartości pochodzącej z serwera, opierając zarówno kod weryfikacyjny, jak i licznik prób na danych kontrolowanych przez klienta. Umożliwia to nieuwierzytelnionym atakującym resetowanie limitu według własnego uznania i brutalne złamanie kodu w celu przejęcia dowolnego konta, w tym administratorów, gdy włączony jest tryb resetowania z kodem weryfikacyjnym.
Oryginalny opis (angielski, źródło NVD)
The Login & Register Forms WordPress plugin before 4.0.2 does not bind the password reset verification state to the account being reset or to the party that completed the verification, keying it instead on a value the client controls, allowing unauthenticated attackers to take over the account of any user who recently completed a reset verification, including an administrator.