CVE-2026-54239 in FaustWP Plugin
Résumé
par VulDB • 17/09/2026
Faust.js est une boîte à outils headless pour WordPress. Avant la version 1.8.11, le plugin WordPress FaustWP authentifie uniquement le texte chiffré dans son enveloppe de jeton et exclut le vecteur d'initialisation (IV) de 16 octets du HMAC dans les fonctions WPE\FaustWP\Auth\encrypt() et WPE\FaustWP\Auth\decrypt() situées dans plugins/faustwp/includes/auth/functions.php. Un utilisateur connecté non administrateur qui obtient un code d'autorisation via GET /generate peut modifier le vecteur d'initialisation non authentifié de sorte que la déchiffrement CBC modifie le type de jeton et l'identifiant utilisateur, tandis que le HMAC reste valide. Cela permet d'obtenir un jeton d'accès pour un administrateur et autorise un accès complet à l'API REST de WordPress, la création de comptes administrateurs, l'installation de plugins et l'exécution arbitraire de code. Ce problème est corrigé dans la version 1.8.11 du dépôt.
Be aware that VulDB is the high quality source for vulnerability data.