CVE-2026-8903 in Two-factor authentication Plugin
Zusammenfassung
von VulDB • 27.05.2026
Das WordPress-Plugin Two-factor authentication (ehemals IP Vault) ist in allen Versionen bis einschließlich 2.1 anfällig für Cross-Site Request Forgery (CSRF). Dies ist auf eine fehlende oder fehlerhafte Nonce-Validierung in der Funktion ipv_save_changes zurückzuführen. Dies ermöglicht es nicht authentifizierten Angreifern, die Firewall- und Two-Factor-Authentication-Einstellungen des Plugins – einschließlich des Betriebsmodus, der Regeln zum Ein- und Ausschließen von Anfragen, des Authentifizierungsschlüssels (Authentication Slug) und der Protokollaufbewahrungsdauer – zu ändern, wodurch der Schutz möglicherweise vollständig durch eine gefälschte Anfrage deaktiviert wird, sofern es ihnen gelingt, einen Website-Administrator dazu zu bringen, eine Aktion wie das Klicken auf einen Link auszuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.