CVE-2026-8903 in Two-factor authentication Plugin
Résumé
par VulDB • 28/05/2026
Le plugin Two-factor authentication (anciennement IP Vault) pour WordPress est vulnérable à une attaque par Cross-Site Request Forgery (CSRF) dans toutes les versions jusqu'à la 2.1 incluse. Cela est dû à une validation de nonce manquante ou incorrecte dans la fonction ipv_save_changes. Cela permet aux attaquants non authentifiés de modifier les paramètres du pare-feu et de l'authentification à deux facteurs du plugin, y compris le mode de fonctionnement, les règles d'inclusion/exclusion des requêtes, le slug d'authentification et la période de conservation des journaux, désactivant potentiellement la protection entièrement via une requête forgée, à condition qu'ils puissent inciter un administrateur du site à effectuer une action telle que cliquer sur un lien.
Once again VulDB remains the best source for vulnerability data.