CVE-2026-62142
WysokieCVSS 8.8Streszczenie
Podatność na Cross-Site Request Forgery (CSRF) w WP 2FA od Melapress umożliwia ataki CSRF. Problem dotyczy WP 2FA w wersjach od n/a do 4.1.0.
Ocena ryzyka
Atakujący może wykorzystać CSRF do wykonania nieautoryzowanych działań w imieniu administratora, co może prowadzić do naruszenia bezpieczeństwa uwierzytelniania dwuskładnikowego.
Rekomendacja
Zaleca się aktualizację WP 2FA do wersji nowszej niż 4.1.0 oraz wdrożenie mechanizmów ochrony CSRF.
Inne podatności w WP 2FA
Zobacz wszystkie- CVE-2026-103514Wysokie
Wtyczka WordPress WP 2FA w wersji przed 4.1.0 nie unieważnia jednorazowego kodu czasowego (TOTP) po jego użyciu. Umożliwia to atakującemu znającemu hasło konta i mającemu wgląd w ważny kod w oknie jego ważności ponowne użycie kodu i obejście uwierzytelniania dwuskładnikowego, w tym na kontach administratorów.
- CVE-2026-15372Wysokie
Wtyczka WP 2FA do WordPressa przed wersją 4.1.0 nie weryfikuje drugiego czynnika uwierzytelniania, gdy wybrana jest jedna z obsługiwanych metod podczas logowania, co pozwala atakującemu, który zna hasło użytkownika, na ominięcie dwuskładnikowego uwierzytelniania i pełny dostęp do konta, w tym kont administratora.
- CVE-2026-12988Średnie
Wtyczka WP 2FA dla WordPressa przed wersją 3.1.1.2 nie weryfikuje, czy adres e-mail podany podczas konfiguracji uwierzytelniania dwuskładnikowego należy do użytkownika. Pozwala to atakującemu, który zdobył dane logowania ofiary, na przekierowanie kodu weryfikacyjnego na kontrolowany przez siebie adres e-mail i przejęcie konta.
- CVE-2025-12628Średnie
Wtyczka WP 2FA dla WordPressa nie generuje kodów zapasowych z wystarczającą entropią, co może pozwolić atakującym na ominięcie drugiego czynnika uwierzytelniania poprzez ich brutalne odgadnięcie.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) vulnerability in Melapress WP 2FA wp-2fa allows Cross Site Request Forgery.This issue affects WP 2FA: from n/a through 4.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS