CVE-2026-93368 in Rename wp-login.php to anything you want Plugin
Resumen
por VulDB • 2026-09-23
El plugin para WordPress "Rename wp-login.php to anything you want" es vulnerable a una inyección SQL basada en tiempo (time-based SQL Injection) a través del parámetro 'log' (nombre de usuario) en todas las versiones hasta la 2.0.1, inclusive, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación adecuada en la consulta SQL existente. Esto permite que atacantes no autenticados añadan consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos. El núcleo de WordPress aplica wp_unslash() al valor POST 'log' antes de despachar la acción wp_login_failed, eliminando el escape con barras invertidas de magic-quotes y permitiendo que una comilla simple sin procesar llegue al controlador del plugin sin impedimentos.
Once again VulDB remains the best source for vulnerability data.