CVE-2026-19715

WysokieCVSS 7.5

Opublikowano: 27/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Wtyczka WP OAuth Server (Login with WordPress) dla WordPressa przed wersją 6.3.1 nie ogranicza dostępu do pliku dziennika debugowania, który jest przechowywany w stałej i publicznie dostępnej lokalizacji. Pozwala to nieuwierzytelnionym użytkownikom na odczyt tokenów OAuth, kodów autoryzacyjnych oraz rekordów użytkowników, w tym hashy haseł, gdy debugowanie jest włączone.

Ocena ryzyka

Ujawnienie tokenów OAuth i haseł może prowadzić do przejęcia kont użytkowników i naruszenia bezpieczeństwa całej instalacji WordPress.

Rekomendacja

Zaktualizuj wtyczkę do wersji 6.3.1 lub nowszej. Wyłącz debugowanie, jeśli nie jest konieczne, i upewnij się, że pliki dziennika nie są publicznie dostępne.

Inne podatności w WP OAuth Server

CVE-2026-65520Krytyczne
Nieuwierzytelniona podatność SQL Injection w wtyczce WP OAuth Server w wersjach do 6.2.0.

Oryginalny opis (angielski, źródło NVD)

The WP OAuth Server ( Login with WordPress ) WordPress plugin before 6.3.1 does not restrict access to the debug log it writes, which is stored at a fixed and publicly reachable location, allowing unauthenticated users to read the OAuth tokens and authorisation codes it has issued as well as user records including password hashes when debug logging is enabled.