CVE-2026-104745 in Customer Email Verification Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin Customer Email Verification for WooCommerce per WordPress è vulnerabile a Privilege Escalation tramite il parametro `alg_wc_ev_verify_email` nelle versioni fino alla 3.3.0, incluse. La vulnerabilità esiste perché la funzione `alg_wc_ev_generate_user_code()` genera il segreto di attivazione per utente utilizzando `wp_rand(100)` quando l'impostazione 'Encoding method' del plugin è impostata su 'hashids', producendo solo ~101 valori possibili (~7 bit di entropia); il token risultante è un encoding Hashids reversibile senza MAC crittografico, e il gestore `verify()` non autenticato — agganciato a `init` con priorità `PHP_INT_MAX`, senza controllo nonce né rate limiting — accetta ed elabora direttamente il parametro GET `?alg_wc_ev_verify_email=` controllato dall'attaccante. Ciò consente agli attaccanti non autenticati di ottenere l'autenticazione come qualsiasi account WordPress non verificato, inclusi gli account a livello di amministratore, effettuando un brute-force dello spazio dei codici di attivazione banalmente piccolo tramite un URL di verifica falsificato. Lo sfruttamento richiede che l'impostazione 'Encoding method' sia modificata in 'hashids' (non predefinita), che l'attaccante recuperi o effettui il brute-force del salt Hashids (che per impostazione predefinita è un valore `md5(time())` impostato alla prima inizializzazione) e che l'indirizzo email dell'account target rimanga non verificato.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.