CVE-2026-18469
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Login & Register Forms dla WordPressa przed wersją 4.0.2 nie egzekwuje limitu prób resetowania hasła w odniesieniu do wartości pochodzącej z serwera, opierając zarówno kod weryfikacyjny, jak i licznik prób na danych kontrolowanych przez klienta. Umożliwia to nieuwierzytelnionym atakującym resetowanie limitu według własnego uznania i brutalne złamanie kodu w celu przejęcia dowolnego konta, w tym administratorów, gdy włączony jest tryb resetowania z kodem weryfikacyjnym.
Ocena ryzyka
Atakujący może przejąć konta użytkowników, w tym administratorów, co może prowadzić do całkowitej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Login & Register Forms do wersji 4.0.2 lub nowszej, która zawiera poprawki egzekwowania limitów prób i bezpiecznego przechowywania stanu weryfikacji.
Inne podatności w Login & Register Forms
Zobacz wszystkie- CVE-2026-18470Wysokie
Wtyczka Login & Register Forms dla WordPressa przed wersją 4.0.2 nie weryfikuje, czy żądanie resetowania hasła pochodzi od właściciela konta, oraz nie maskuje adresu zwracanego w odpowiedzi. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie adresów e-mail zarejestrowanych użytkowników, w tym administratorów.
- CVE-2026-18468Wysokie
Wtyczka Login & Register Forms dla WordPressa przed wersją 4.0.2 nie wiąże stanu weryfikacji resetowania hasła z kontem, które jest resetowane, ani z osobą, która ukończyła weryfikację, opierając go na wartości kontrolowanej przez klienta. Umożliwia to nieuwierzytelnionym atakującym przejęcie konta dowolnego użytkownika, który niedawno ukończył weryfikację resetowania, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
The Login & Register Forms WordPress plugin before 4.0.2 does not enforce its password reset attempt limit against a server-derived value, keying both the verification code and the per-source attempt counter on client-controlled data, allowing unauthenticated attackers to reset the limit at will and brute-force the code to take over any account, including administrators, when the verification-code reset mode is enabled.