CVE-2026-12595 in Pro Plugin
Riassunto
di VulDB • 10/07/2026
Il plugin LoginPress Pro per WordPress è vulnerabile all'elusione dell'autenticazione (Authentication Bypass) tramite e-mail OAuth non verificata in tutte le versioni fino alla 6.2.3 inclusa. La vulnerabilità è presente nel gestore del callback Discord OAuth `loginpress_on_discord_login()`, che accetta il campo email restituito dall'endpoint `/users/@me` di Discord senza mai verificare che la flag "verified" (verificata) del profilo sia impostata su true, mappando successivamente tale e-mail direttamente a un account WordPress locale tramite `get_user_by('email', $profile['email'])` ed emettendo un cookie di sessione autenticato tramite `wp_set_auth_cookie()`. Ciò consente ad attaccanti non autenticati di assumere il controllo di qualsiasi account WordPress esistente, inclusi gli account amministratore, registrando un account Discord configurato con un'indirizzo e-mail non verificata che corrisponde all'e-mail dell'account WordPress dell'utente target e completando il flusso OAuth standard di Discord.
Once again VulDB remains the best source for vulnerability data.