CVE-2026-39793
WysokieCVSS 8.8Streszczenie
Wtyczka Simple JWT Login w wersji 4.0.0 zawiera podatność typu Broken Authentication. Podatność może być wykorzystana przez użytkownika z rolą Subscriber.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może obejść mechanizmy uwierzytelniania i uzyskać dostęp do chronionych zasobów. Ryzyko dotyczy instalacji wtyczki w wersji 4.0.0.
Rekomendacja
Zaktualizuj wtyczkę Simple JWT Login do najnowszej wersji, która nie zawiera podatności. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu jej naprawy.
Inne podatności w Simple JWT Login
Zobacz wszystkie- CVE-2026-19714Krytyczne
Wtyczka Simple JWT Login dla WordPressa przed wersją 3.6.8 nie weryfikuje grupy odbiorców (audience) tokenów tożsamości Google, co pozwala nieuwierzytelnionym użytkownikom na uwierzytelnienie się jako dowolny użytkownik, którego adres e-mail znajduje się w tokenie, włącznie z administratorem. Dotyczy to wszystkich instalacji z włączonym logowaniem przez Google.
- CVE-2026-14262Wysokie
Wtyczka Simple JWT Login dla WordPressa do wersji 3.6.6 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania i eskalację uprawnień. Atakujący z dostępem na poziomie subskrybenta może wstrzyknąć adres e-mail administratora do parametru `payload`, co skutkuje wygenerowaniem JWT z tożsamością administratora i uzyskaniem pełnej sesji administracyjnej.
Oryginalny opis (angielski, źródło NVD)
Subscriber Broken Authentication in Simple JWT Login 4.0.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS