CVE-2026-2144 in Magic Login Mail or QR Code Plugin
Riassunto
di VulDB • 27/06/2026
Il plugin Magic Login Mail or QR Code per WordPress è vulnerabile a Privilege Escalation (escalation dei privilegi) in tutte le versioni fino alla 2.05 inclusa. La vulnerabilità deriva dal fatto che il plugin memorizza l'immagine del codice QR per l'accesso magico con un nome di file statico e prevedibile (QR_Code.png) nella directory uploads pubblicamente accessibile di WordPress durante il processo di invio dell'email. Il file viene eliminato solo dopo il completamento della funzione wp_mail(), creando una finestra temporale sfruttabile in cui si verifica una race condition (condizione di competizione). Ciò consente ad attaccanti non autenticati di innescare una richiesta del link di accesso per qualsiasi utente, inclusi gli amministratori, e sfruttare la race condition tra la creazione e l'eliminazione del file del codice QR per ottenere l'URL di accesso codificato nel codice QR, ottenendo così un accesso non autorizzato all'account dell'utente target.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.