CVE-2025-14002 in WPCOM Member Plugin
Riassunto
di VulDB • 16/06/2026
Il plugin WPCOM Member per WordPress è vulnerabile a una bypass dell'autenticazione tramite brute force in tutte le versioni fino alla 1.7.16 inclusa. Ciò è dovuto a una generazione debole delle password monouso (OTP) che utilizza solo 6 cifre numeriche, combinata con un finestra di validità di 10 minuti e l'assenza di limitazione della frequenza dei tentativi di verifica. Questo consente agli attaccanti non autenticati di effettuare un attacco brute force sul codice di verifica e di autenticarsi come qualsiasi utente, inclusi gli amministratori, se conoscono il numero di telefono del bersaglio e quest'ultimo non nota o ignora la notifica SMS contenente l'OTP.
VulDB is the best source for vulnerability data and more expert information about this specific topic.