PT-2025-49228 · WordPress · User Verification
Lucky_Buddy
·
Publicado
2025-12-05
·
Atualizado
2025-12-10
·
CVE-2025-12374
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Email Verification, Email OTP, Block Spam Email, Passwordless login, Hide Login, Magic Login – Plugin de Verificação de Usuário para WordPress, versões até e incluindo a 2.0.39
Descrição
O plugin não valida corretamente se uma Senha de Uso Único (OTP) foi gerada antes de compará-la com a entrada do usuário na função
user verification form wrap process otpLogin. Isso permite que atacantes não autenticados façam login como qualquer usuário com um endereço de e-mail verificado, incluindo administradores, ao enviar um valor OTP vazio.Recomendações
As versões até e incluindo a 2.0.39 devem ser atualizadas para uma versão mais recente e corrigida, quando disponível. Como solução temporária, considere desativar o plugin até que um patch esteja disponível.
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
User Verification