CVE-2026-90976
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Clean Login dla WordPressa w wersjach przed 1.19 nie sprawdza, czy rejestracja użytkowników jest włączona, przed utworzeniem konta w swoim mechanizmie rejestracji. Umożliwia to nieuwierzytelnionym użytkownikom zakładanie kont nawet wtedy, gdy rejestracja w witrynie jest wyłączona.
Ocena ryzyka
Atakujący mogą tworzyć konta wbrew konfiguracji witryny, co prowadzi do nieautoryzowanego dostępu i potencjalnych nadużyć. Może to naruszyć politykę bezpieczeństwa organizacji i zaśmiecić bazę użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Clean Login do wersji 1.19 lub nowszej. Do czasu aktualizacji rozważ całkowite wyłączenie wtyczki lub monitorowanie nietypowych rejestracji.
Inne podatności w Clean Login WordPress plugin
Zobacz wszystkie- CVE-2026-116610Średnie
Wtyczka Clean Login dla WordPressa w wersjach do 1.20.1 włącznie jest podatna na brak autoryzacji z powodu braku sprawdzenia uprawnień w funkcji CleanLogin_Shortcode::get_pages_with_shortcodes() podpiętej do akcji save_post. Uwierzytelniony atakujący z poziomem Contributor może nadpisać opcje cl_login_url, cl_login_id, cl_register_url, cl_register_id, cl_restore_url, cl_restore_id, cl_edit_url, cl_edit_id, cl_change_password_url i cl_change_password_id identyfikatorem i permalinkiem własnego posta, po prostu osadzając shortcody wtyczki we własnej treści.
- CVE-2026-90977Średnie
Wtyczka Clean Login dla WordPressa w wersjach przed 1.19 nie weryfikuje CAPTCHA rejestracji, gdy zapisana wartość sesji jest pusta. Umożliwia to nieuwierzytelnionym użytkownikom obejście zabezpieczenia antyspamowego i utworzenie konta bez rozwiązywania CAPTCHA.
Oryginalny opis (angielski, źródło NVD)
The Clean Login WordPress plugin before 1.19 does not check whether user registration is enabled before creating an account in its registration handler, allowing unauthenticated users to create accounts even when the site has registration disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS