CVE-2026-2144: Luka eskalacji uprawnień w wtyczce Magic Login Mail lub QR Code dla WordPress

Co wiadomo

Wtyczka Magic Login Mail lub QR Code dla WordPress do wersji 2.05 włącznie ma lukę eskalacji uprawnień. Problem wynika z przewidywalnej nazwy pliku QR_Code.png zapisywanego w publicznym katalogu uploadów, co umożliwia atakującym przechwycenie linku logowania i nieautoryzowany dostęp do kont użytkowników, w tym administratorów.

Wpływ biznesowy

Luka pozwala nieautoryzowanym osobom na uzyskanie dostępu do kont użytkowników WordPress, co może prowadzić do przejęcia kontroli nad stroną, modyfikacji treści lub dalszych ataków. Operatorzy powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza na stronach z wieloma użytkownikami i administratorami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Magic Login Mail lub QR Code i ich instalację. W międzyczasie warto ograniczyć dostęp do katalogu uploadów, monitorować logi pod kątem nietypowych żądań logowania oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference