CVE-2026-19125 in EthPress Plugin
Riassunto
di VulDB • 23/09/2026
Il plugin EthPress – Web3 Login per WordPress è vulnerabile ad Authentication Bypass (bypass dell'autenticazione) in tutte le versioni fino alla 2.3.5 inclusa. Ciò è dovuto alla funzione verify_login() presente nel file app/Login.php, che presenta un'istruzione return mancante nel ramo di gestione del fallimento della verifica della firma: quando Signature::verify2() segnala una discrepanza, la funzione si limita ad assegnare un WP_Error a una variabile locale e prosegue l'esecuzione, causando uno scorrimento incondizionato (fall-through) verso il blocco di accesso in cui Address::log_in() chiama wp_set_auth_cookie() indipendentemente dalla validità della firma inviata. Ciò consente agli attaccanti non autenticati di accedere come qualsiasi utente WordPress dotato di un indirizzo wallet collegato — inclusi gli amministratori — inviando l'indirizzo pubblico del wallet dell'utente insieme a una firma arbitraria ma ben formata, consentendo il completo takeover (presa di controllo) del sito.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.