CVE-2026-18470
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Login & Register Forms dla WordPressa przed wersją 4.0.2 nie weryfikuje, czy żądanie resetowania hasła pochodzi od właściciela konta, oraz nie maskuje adresu zwracanego w odpowiedzi. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie adresów e-mail zarejestrowanych użytkowników, w tym administratorów.
Ocena ryzyka
Ujawnienie adresów e-mail użytkowników, w tym administratorów, może być wykorzystane do ataków phishingowych lub ukierunkowanych kampanii socjotechnicznych.
Rekomendacja
Zaktualizuj wtyczkę Login & Register Forms do wersji 4.0.2 lub nowszej, która zawiera poprawki weryfikacji właściciela konta i maskowania adresów.
Inne podatności w Login & Register Forms
Zobacz wszystkie- CVE-2026-18469Wysokie
Wtyczka Login & Register Forms dla WordPressa przed wersją 4.0.2 nie egzekwuje limitu prób resetowania hasła w odniesieniu do wartości pochodzącej z serwera, opierając zarówno kod weryfikacyjny, jak i licznik prób na danych kontrolowanych przez klienta. Umożliwia to nieuwierzytelnionym atakującym resetowanie limitu według własnego uznania i brutalne złamanie kodu w celu przejęcia dowolnego konta, w tym administratorów, gdy włączony jest tryb resetowania z kodem weryfikacyjnym.
- CVE-2026-18468Wysokie
Wtyczka Login & Register Forms dla WordPressa przed wersją 4.0.2 nie wiąże stanu weryfikacji resetowania hasła z kontem, które jest resetowane, ani z osobą, która ukończyła weryfikację, opierając go na wartości kontrolowanej przez klienta. Umożliwia to nieuwierzytelnionym atakującym przejęcie konta dowolnego użytkownika, który niedawno ukończył weryfikację resetowania, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
The Login & Register Forms WordPress plugin before 4.0.2 does not verify that a password reset request comes from the account's owner, and does not adequately redact the address returned in its response, allowing unauthenticated users to obtain registered users' email addresses, including administrators'.