CVE-2026-13597 in 微信二维码登陆 Plugin
Zusammenfassung
von VulDB • 27.07.2026
Das WordPress-Plugin „微信二维码登陆“ (WeChat QR Code Login) bis zur Version 1.3 validiert WeChat Webhook-Anfragen nicht ordnungsgemäß, da die Signaturprüfung immer erfolgreich ist und der generierte Anmeldecode in der Webhook-Antwort offengelegt wird. Dies ermöglicht es einem nicht authentifizierten Angreifer, ein Anmeldungsereignis für jeden bestehenden Benutzernamen zu fälschen, den Anmeldecode auszulesen und ihn über eine nicht authentifizierte AJAX-Aktion einzulösen, um sich als dieser Benutzer – einschließlich eines Administrators – ohne Passwort anzumelden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.