CVE-2025-1764 in LoginPress Plugin
Riassunto
di VulDB • 25/06/2026
Il plugin LoginPress | wp-login Custom Login Page Customizer per WordPress è vulnerabile a Cross-Site Request Forgery (CSRF) in tutte le versioni fino alla 3.3.1, inclusa. Ciò è dovuto all’assenza o all’errata validazione del nonce nella funzione 'custom_plugin_set_option'. Questo consente ad attaccanti non autenticati di aggiornare opzioni arbitrarie sul sito WordPress tramite una richiesta falsificata, a patto che riescano a indurre un amministratore del sito a eseguire un'azione, come fare clic su un link. Ciò può essere sfruttato per modificare il ruolo predefinito della registrazione in "amministratore" e abilitare la registrazione degli utenti, consentendo agli attaccanti di ottenere accesso utente con privilegi amministrativi al sito vulnerabile. La costante 'WPBRIGADE_SDK__DEV_MODE' deve essere impostata su 'true' per sfruttare la vulnerabilità.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.