CVE-2026-19714
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Simple JWT Login dla WordPressa przed wersją 3.6.8 nie weryfikuje grupy odbiorców (audience) tokenów tożsamości Google, co pozwala nieuwierzytelnionym użytkownikom na uwierzytelnienie się jako dowolny użytkownik, którego adres e-mail znajduje się w tokenie, włącznie z administratorem. Dotyczy to wszystkich instalacji z włączonym logowaniem przez Google.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ atakujący może uzyskać pełny dostęp do konta administratora, co prowadzi do całkowitej kompromitacji witryny.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do wersji 3.6.8 lub nowszej oraz rozważyć tymczasowe wyłączenie logowania przez Google do czasu aktualizacji.
Oryginalny opis (angielski, źródło NVD)
The Simple JWT Login WordPress plugin before 3.6.8 does not validate the audience of the Google identity tokens it accepts, allowing unauthenticated users to authenticate as any user whose email address such a token carries, up to and including an administrator. Every site with the Simple JWT Login WordPress plugin before 3.6.8's Google sign-in enabled is affected.