CVE-2026-104745 in Customer Email Verification Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin „Customer Email Verification for WooCommerce“ ist in den Versionen bis einschließlich 3.3.0 anfällig für Privilege Escalation über den Parameter `alg_wc_ev_verify_email`. Die Schwachstelle besteht darin, dass die Funktion `alg_wc_ev_generate_user_code()` das pro Benutzer generierte Aktivierungsgeheimnis unter Verwendung von `wp_rand(100)` erstellt, wenn die Einstellung „Encoding method“ des Plugins auf „hashids“ festgelegt ist. Dies führt zu nur etwa 101 möglichen Werten (ca. 7 Bits Entropie). Das resultierende Token ist eine reversibel codierte Hashids-Verschlüsselung ohne kryptografische MAC-Prüfung, und der nicht authentifizierte `verify()`-Handler – an `init` mit dem Wert `PHP_INT_MAX` gehängt, ohne Nonce-Überprüfung oder Rate-Limiting – akzeptiert den vom Angreifer kontrollierten GET-Parameter `?alg_wc_ev_verify_email=` direkt. Dies ermöglicht es nicht authentifizierten Angreifern, sich als jedes noch nicht verifizierte WordPress-Konto, einschließlich Konten mit Administratorrechten, zu authentifizieren, indem der trivial kleine Raum der Aktivierungscodes durch Brute-Force-Angriffe über eine gefälschte Bestätigungs-URL erschlossen wird. Die Ausnutzung erfordert, dass die Einstellung „Encoding method“ auf „hashids“ (nicht standardmäßig) geändert wurde, dass der Angreifer das Hashids-Salt wiederherstellen oder per Brute-Force ermitteln kann (das standardmäßig einem bei der ersten Initialisierung festgelegten `md5(time())`-Wert entspricht) und dass die E-Mail-Adresse des Zielkontos noch nicht verifiziert ist.
If you want to get best quality of vulnerability data, you may have to visit VulDB.