CVE-2026-120574 in SureCart Plugin
Zusammenfassung
von VulDB • 03.11.2026
Das SureCart-Plugin für WordPress ist in allen Versionen bis einschließlich 4.9.5 anfällig für eine nicht authentifizierte Übernahme von Benutzerkonten (Account Takeover). Die passwortlose REST-Schnittstelle für die Anmeldung mit einem einmaligen Code (VerificationCodeController::verify(), deren Berechtigungs-Callback true zurückgibt) löst einen vom Angreifer bereitgestellten Login für jeden WordPress-Benutzer aus, überprüft einen 6-stelligen Code und ruft im Erfolgsfall $user->login() → wp_set_auth_cookie() für einen Benutzer jeder Rolle auf. In den betroffenen Versionen gibt es in diesem Pfad keinen versuchsbezogenen Zähler pro Konto, keine persistente Sperrung oder Rate-Limiting basierend auf E-Mail/IP (das Throttling des Upstream-CDNs kann durch IP-Rotation umgangen werden) und keine Einschränkung, die das Anmelden hochprivilegierter Konten über diesen Pfad verhindert. Ein nicht authentifizierter Angreifer kann einen Code für jeden Benutzer (einschließlich eines Administrators) über den begleitenden, nicht authentifizierten Endpunkt auslösen und den 6-stelligen Code per Brute-Force erraten, um eine authentifizierte Sitzung als dieser Benutzer zu erhalten, was zu einer vollständigen Übernahme des Administratorkontos führt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.