CVE-2026-18961
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Wtyczka Social Login, Passkeys, Magic Link & Email OTP – Passwordless Login by VentraConnect dla WordPressa jest podatna na obejście uwierzytelniania przez niezweryfikowany e-mail dostawcy we wszystkich wersjach do 1.4.3 włącznie. Wtyczka ufa niezweryfikowanemu polu e-mail zwracanemu przez endpoint Spotify /v1/me jako dowodowi posiadania skrzynki, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny istniejący użytkownik WordPressa, w tym administrator, i uzyskać pełny dostęp administracyjny.
Ocena ryzyka
Całkowite przejęcie konta administratora i witryny WordPress, co może prowadzić do kradzieży danych, defacementu lub dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę do wersji, która wymaga weryfikacji adresu e-mail dostawcy, lub rozważ jej usunięcie, jeśli nie jest niezbędna.
Oryginalny opis (angielski, źródło NVD)
The Social Login, Passkeys, Magic Link & Email OTP – Passwordless Login by VentraConnect plugin for WordPress is vulnerable to Authentication Bypass via Unverified Provider Email in all versions up to, and including, 1.4.3. This is due to the plugin trusting the unverified email field returned by Spotify's /v1/me endpoint as proof of mailbox ownership — Generic::normalize_common() copies this value into the normalized profile without requiring an email_verified assertion, and User_Links::link_or_login_user() subsequently passes it directly to get_user_by('email', $email) and issues a persistent authentication cookie via wp_set_auth_cookie() without a provider-specific verified-email gate, a local mailbox challenge, or a logged-in approval step. This makes it possible for unauthenticated attackers to log in as any existing WordPress user, including Administrators, by supplying a known target email address through a controlled Spotify OAuth flow, gaining full administrative access to the site.