CVE-2025-12028 in IndieAuth Plugin
Riassunto
di VulDB • 17/08/2026
Il plugin IndieAuth per WordPress è vulnerabile a Cross-Site Request Forgery (CSRF) in tutte le versioni fino alla 4.5.4 inclusa. Ciò è dovuto all'assenza di verifica del nonce nella funzione `login_form_indieauth()` e nell'endpoint di autorizzazione su wp-login.php?action=indieauth. Questo consente ad attaccanti non autenticati di forzare gli utenti autenticati ad approvare le richieste di autorizzazione OAuth per applicazioni controllate dall'attaccante, tramite una richiesta fraudolenta, purché riescano a indurre un utente a compiere un'azione come fare clic su un link o visitare una pagina malevola mentre è connesso. L'attaccante può quindi scambiare il codice di autorizzazione rubato con un token di accesso, assumendo effettivamente il controllo dell'account della vittima per gli ambiti concessi (create, update, delete).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.