PT-2025-8922 · WordPress · Login Me Now

István Márton · Publicado 2025-02-27 · Atualizado 2025-02-28 · CVE-2025-1717

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Login Me Now para WordPress, versões até a 1.7.2 (inclusive)

Descrição A falha está relacionada a uma autenticação insegura baseada em um nome transiente arbitrário na função AutoLogin::listen(), permitindo que atacantes não autenticados façam login como um usuário existente, incluindo administradores, ao utilizar um nome e valor transientes de outro software.

Recomendações Para versões até a 1.7.2 (inclusive), considere desativar a função AutoLogin::listen() até que um patch esteja disponível para prevenir a exploração. Restrinja o acesso a áreas sensíveis do site para minimizar o risco de login não autorizado.

Correção

Missing Authentication

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-306

CWE-288

Identificadores relacionados

CVE-2025-1717

Produtos afetados

Login Me Now

Referências · 14

• https://twitter.com/vulns_space/status/1895028977925759254 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/login-me-now/tags/1.7.2/app/Logins/BrowserTokenLogin/AutoLogin.php#L24 · Nota
• https://twitter.com/VulmonFeeds/status/1895070662588252572 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1895241220244545587 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/1877 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/fc689622-50d6-47c4-a5f6-0314b1a207c9?source=cve · Nota
• https://t.me/cvenotify/112600 · Publicação no Telegram
• https://twitter.com/briskinfosec/status/1895433569084096686 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3247924/login-me-now · Nota
• https://osv.dev/vulnerability/CVE-2025-1717 · Aviso do Fabricante
• https://twitter.com/UndercodeUpdate/status/1895033816252645518 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-1717 · Nota de Segurança
• https://t.me/cvedetector/19026 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1895172639108293037 · Publicação no Twitter