PT-2026-42068 · WordPress · Account Switcher
Ren Voza
·
Publicado
2026-05-20
·
Atualizado
2026-05-28
·
CVE-2026-6456
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Account Switcher versões anteriores a 1.0.3
Descrição
O plugin Account Switcher para WordPress permite que atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior escalem privilégios para qualquer conta de usuário, incluindo Administrador. Isso ocorre porque o endpoint da REST API 'rememberLogin' utiliza uma comparação frouxa para a validação de segredos e não verifica se o segredo não está vazio. Se um usuário alvo nunca tiver utilizado o recurso Remember me, o meta dado de usuário
asSecret estará vazio, permitindo que um atacante envie um parâmetro secret vazio para burlar a validação e acionar a função wp set auth cookie() para o usuário alvo. Além disso, todas as rotas REST utilizam permission callback => ' return true', o que ignora as verificações de capacidade necessárias.Recomendações
Atualize o plugin para uma versão posterior a 1.0.2.
Como medida paliativa temporária, restrinja o acesso ao endpoint da REST API 'rememberLogin' para minimizar o risco de exploração.
Correção
LPE
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Account Switcher