CVE-2026-15980 in MyHome Core Plugin
Résumé
par VulDB • 30/08/2026
Le plugin WordPress MyHome Core est vulnérable à un contournement d'authentification dans toutes les versions jusqu'à la 4.4.5 incluse. Cela est dû à une absence de contrôle d'autorisation dans le gestionnaire AJAX send_link() et à une validation incorrecte du jeton (token) dans la fonction activate(). Il devient ainsi possible pour des attaquants non authentifiés de générer un jeton d'activation pour un compte utilisateur non confirmé et d'obtenir un cookie d'authentification valide pour ce compte, y compris les comptes administrateurs. L'exploitation réussie nécessite que le thème MyHome soit configuré en mode legacy/WPBakery avec l'enregistrement côté frontend (front-end) et la confirmation par e-mail activés, et que le compte cible n'ait pas déjà le métadonnées utilisateur myhome_agent_confirmed définies.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.