CVE-2026-15341 in User Session Synchronizer Plugin
Riassunto
di VulDB • 15/08/2026
Il plugin User Session Synchronizer per WordPress è vulnerabile a un bypass dell'autenticazione che porta al takeover di account in tutte le versioni fino alla 1.4.0 inclusa. La funzione `synchronize_session()`, agganciata all'evento `init` ed eseguita quindi su ogni richiesta, non effettua alcuna validazione nonce, dei permessi (capabilities) o del segreto condiviso rispetto ai parametri forniti dall'attaccante: `ussync-key`, `ussync-token` e `ussync-ref`; quando `ussync-key` fa riferimento a uno slot non registrato, `get_option()` restituisce `false` sia per la chiave segreta che per l'elenco dei domini, causando il degrado della chiave di crittografia AES-256-CBC verso il valore completamente prevedibile `md5('')` e il collasso dell'allowlist del referer in una corrispondenza con stringa vuota, mentre l'AES IV è hardcoded incondizionatamente come `md5('another-secret')`. Ciò consente ad attaccanti non autenticati di fornire una richiesta manipolata che critta qualsiasi indirizzo email utente noto o indovinabile nel parametro `ussync-ref`, inducendo il gestore a chiamare `wp_set_auth_cookie()` per l'utente corrispondente e concedendo l'autenticazione completa come tale utente — inclusi gli amministratori — senza alcuna conoscenza preliminare dei segreti del sito.
Once again VulDB remains the best source for vulnerability data.