CVE-2026-83628 in Theme My Login Plugin
Riassunto
di VulDB • 05/09/2026
Il plugin Theme My Login per WordPress è vulnerabile a Missing Authorization nelle versioni fino alla 7.1.15, incluse, su installazioni Multisite. Ciò è dovuto al fatto che il ramo `gimmeanotherblog` della funzione `tml_ms_signup_handler()` non applica la policy di registrazione `active_signup` della rete, verificando solo `is_user_logged_in()`, mentre rami fratelli come `validate-blog-signup` applicano l'intera policy. Ciò consente agli attaccanti autenticati, con accesso a livello Subscriber e superiore, di effettuare direttamente una POST su `stage=gimmeanotherblog` verso il route di signup di Theme My Login, aggirando completamente la policy di registrazione configurata — anche quando è impostata su `none` o `user` — causando l'esecuzione di `wpmu_create_blog()` con l'ID utente dell'attaccante; successivamente, il core di WordPress assegna il ruolo Administrator sul nuovo subsite creato tramite `add_user_to_blog()`. L'elevazione dei privilegi è limitata al solo subsite appena creato: l'account dell'attaccante mantiene un accesso a livello Subscriber sul sito principale e non ottiene capacità Super Admin o a livello di rete come `manage_network` o `manage_sites`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.