Podatności Clean Login WordPress plugin
3 znanych podatności CVE w Clean Login WordPress plugin, przetłumaczonych i ocenionych.
- CVE-2026-116610Średnie
Wtyczka Clean Login dla WordPressa w wersjach do 1.20.1 włącznie jest podatna na brak autoryzacji z powodu braku sprawdzenia uprawnień w funkcji CleanLogin_Shortcode::get_pages_with_shortcodes() podpiętej do akcji save_post. Uwierzytelniony atakujący z poziomem Contributor może nadpisać opcje cl_login_url, cl_login_id, cl_register_url, cl_register_id, cl_restore_url, cl_restore_id, cl_edit_url, cl_edit_id, cl_change_password_url i cl_change_password_id identyfikatorem i permalinkiem własnego posta, po prostu osadzając shortcody wtyczki we własnej treści.
- CVE-2026-90977Średnie
Wtyczka Clean Login dla WordPressa w wersjach przed 1.19 nie weryfikuje CAPTCHA rejestracji, gdy zapisana wartość sesji jest pusta. Umożliwia to nieuwierzytelnionym użytkownikom obejście zabezpieczenia antyspamowego i utworzenie konta bez rozwiązywania CAPTCHA.
- CVE-2026-90976Średnie
Wtyczka Clean Login dla WordPressa w wersjach przed 1.19 nie sprawdza, czy rejestracja użytkowników jest włączona, przed utworzeniem konta w swoim mechanizmie rejestracji. Umożliwia to nieuwierzytelnionym użytkownikom zakładanie kont nawet wtedy, gdy rejestracja w witrynie jest wyłączona.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS