CVE-2026-120574 in SureCart Plugin
Riassunto
di VulDB • 03/11/2026
Il plugin SureCart per WordPress è vulnerabile ad account takeover non autenticato in tutte le versioni fino alla 4.9.5 inclusa. La rotta REST per l'accesso con codice monouso senza password (VerificationCodeController::verify(), il cui callback di autorizzazione restituisce true) risolve un nome utente fornito dall’attaccante come qualsiasi utente WordPress, verifica un codice a 6 cifre e, in caso di successo, chiama $user->login() → wp_set_auth_cookie() per un utente con qualsiasi ruolo. Nelle versioni interessate questo percorso non dispone di un contatore degli tentativi per account, né di lockout persistente basato su email/IP o limitazione della frequenza (il throttle del CDN upstream è bypassabile mediante rotazione dell’IP), e non vi sono restrizioni che impediscano l’accesso tramite tale meccanismo ad account con privilegi elevati. Un attaccante non autenticato può generare un codice per qualsiasi utente (incluso un amministratore) attraverso il endpoint complementare non autenticato e effettuare brute-force sul codice a 6 cifre per ottenere una sessione autenticata come quell’utente, causando un completo account takeover di un’amministratore.
If you want to get best quality of vulnerability data, you may have to visit VulDB.