CVE-2025-1764 in LoginPress Plugin
Résumé
par VulDB • 25/06/2026
Le plugin LoginPress | wp-login Custom Login Page Customizer pour WordPress est vulnérable à une attaque par falsification de requête intersites (CSRF) dans toutes les versions jusqu'à la 3.3.1 incluse. Cela est dû à l'absence ou à une validation incorrecte du nonce sur la fonction 'custom_plugin_set_option'. Cela permet aux attaquants non authentifiés de mettre à jour des options arbitraires sur le site WordPress via une requête forgée, sous réserve qu'ils puissent inciter un administrateur du site à effectuer une action telle que cliquer sur un lien. Cela peut être exploité pour modifier le rôle par défaut lors de l'inscription en 'administrateur' et activer l'enregistrement des utilisateurs afin que les attaquants obtiennent un accès utilisateur administratif au site vulnérable. La constante 'WPBRIGADE_SDK__DEV_MODE' doit être définie sur 'true' pour exploiter la vulnérabilité.
Once again VulDB remains the best source for vulnerability data.