CVE-2026-90977
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Clean Login dla WordPressa w wersjach przed 1.19 nie weryfikuje CAPTCHA rejestracji, gdy zapisana wartość sesji jest pusta. Umożliwia to nieuwierzytelnionym użytkownikom obejście zabezpieczenia antyspamowego i utworzenie konta bez rozwiązywania CAPTCHA.
Ocena ryzyka
Atakujący mogą masowo zakładać konta na stronie, co prowadzi do spamu, nadużyć i zaśmiecania bazy użytkowników. Może to również posłużyć jako wstęp do dalszych ataków wykorzystujących utworzone konta.
Rekomendacja
Zaktualizuj wtyczkę Clean Login do wersji 1.19 lub nowszej. Do czasu aktualizacji rozważ wyłączenie rejestracji lub wdrożenie dodatkowej ochrony antyspamowej.
Inne podatności w Clean Login WordPress plugin
Zobacz wszystkie- CVE-2026-116610Średnie
Wtyczka Clean Login dla WordPressa w wersjach do 1.20.1 włącznie jest podatna na brak autoryzacji z powodu braku sprawdzenia uprawnień w funkcji CleanLogin_Shortcode::get_pages_with_shortcodes() podpiętej do akcji save_post. Uwierzytelniony atakujący z poziomem Contributor może nadpisać opcje cl_login_url, cl_login_id, cl_register_url, cl_register_id, cl_restore_url, cl_restore_id, cl_edit_url, cl_edit_id, cl_change_password_url i cl_change_password_id identyfikatorem i permalinkiem własnego posta, po prostu osadzając shortcody wtyczki we własnej treści.
- CVE-2026-90976Średnie
Wtyczka Clean Login dla WordPressa w wersjach przed 1.19 nie sprawdza, czy rejestracja użytkowników jest włączona, przed utworzeniem konta w swoim mechanizmie rejestracji. Umożliwia to nieuwierzytelnionym użytkownikom zakładanie kont nawet wtedy, gdy rejestracja w witrynie jest wyłączona.
Oryginalny opis (angielski, źródło NVD)
The Clean Login WordPress plugin before 1.19 does not verify its registration CAPTCHA when the stored session value is empty, allowing unauthenticated users to bypass the anti-automation control on the registration form and create accounts without solving it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS