CVE-2026-19714
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka Simple JWT Login dla WordPressa przed wersją 3.6.8 nie weryfikuje grupy odbiorców (audience) tokenów tożsamości Google, co pozwala nieuwierzytelnionym użytkownikom na uwierzytelnienie się jako dowolny użytkownik, którego adres e-mail znajduje się w tokenie, włącznie z administratorem. Dotyczy to wszystkich instalacji z włączonym logowaniem przez Google.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ atakujący może uzyskać pełny dostęp do konta administratora, co prowadzi do całkowitej kompromitacji witryny.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do wersji 3.6.8 lub nowszej oraz rozważyć tymczasowe wyłączenie logowania przez Google do czasu aktualizacji.
Inne podatności w Simple JWT Login
Zobacz wszystkie- CVE-2026-39793Wysokie
Wtyczka Simple JWT Login w wersji 4.0.0 zawiera podatność typu Broken Authentication. Podatność może być wykorzystana przez użytkownika z rolą Subscriber.
- CVE-2026-14262Wysokie
Wtyczka Simple JWT Login dla WordPressa do wersji 3.6.6 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania i eskalację uprawnień. Atakujący z dostępem na poziomie subskrybenta może wstrzyknąć adres e-mail administratora do parametru `payload`, co skutkuje wygenerowaniem JWT z tożsamością administratora i uzyskaniem pełnej sesji administracyjnej.
- CVE-2025-58648Średnie
Wtyczka Simple JWT Login do WordPressa zawiera podatność na przechowywany atak XSS. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora.
Oryginalny opis (angielski, źródło NVD)
The Simple JWT Login WordPress plugin before 3.6.8 does not validate the audience of the Google identity tokens it accepts, allowing unauthenticated users to authenticate as any user whose email address such a token carries, up to and including an administrator. Every site with the Simple JWT Login WordPress plugin before 3.6.8's Google sign-in enabled is affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS