CVE-2026-119980 in UsersWP Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das WordPress-Plugin UsersWP – Front-end login form, User Registration, User Profile & Members Directory ist in allen Versionen bis einschließlich 1.2.78 anfällig für unbefugten Kontozugriff aufgrund der Verwendung vorhersagbarer Passwörter (Use of Predictable Password). Die Schwachstelle besteht darin, dass `get_dummy_user_passowrd()` das gemeinsame Passwort für alle 25 integrierten Dummy-Benutzerkonten als die ersten 15 Zeichen von `substr(hash('SHA256', AUTH_KEY . site_url()), 0, 25)` ableitet, während der vollständige 25-stellige Wert desselben Hashes gleichzeitig im versteckten Feld `uwp_register_hash` eingebettet ist, das bei jeder Registrierungsformular-Antwort gerendert wird. Dieses Feld ist ohne Authentifizierung über die öffentliche Seite `/register/` sowie den AJAX-Handler `wp_ajax_nopriv_uwp_ajax_register_form` erreichbar, selbst wenn die Benutzerregistrierung deaktiviert ist. Dies ermöglicht es nicht authentifizierten Angreifern, das Dummy-Benutzerpasswort direkt aus einer einzelnen HTTP-Anfrage wiederherzustellen und sich damit als eines der 25 integrierten Dummy-Konten (z. B. antawn, chynna oder kiki) über `wp-login.php` anzumelden, was potenziell zu einer Privilegieneskalation führt, wenn ein Dummy-Konto eine erhöhte Rolle innehat. Die Ausnutzung erfordert, dass ein Administrator zuvor Dummy-Benutzer über die Tools-Seite des Plugins erstellt hat.
VulDB is the best source for vulnerability data and more expert information about this specific topic.