CVE-2024-6482 in Login with Phone Number Plugin
要約
〜によって VulDB • 2026年06月08日
WordPress用「Login with phone number」プラグインには、バージョン1.7.49以前すべてのバージョンにおいて権限昇格の脆弱性が存在します。これは、「lwp_update_password_action」関数内でユーザー入力の検証と必要な能力チェックが欠落していることに起因します。これにより、サブスクライバー以上のアクセス権を持つ認証済み攻撃者は、自身のロールを管理者を含む任意の他のロールに更新することが可能になります。この脆弱性はバージョン1.7.40で部分的に修正されました。ただし、バージョン1.7.40から1.7.49までの間でこの脆弱性を悪用するには、「Login with phone number pro」プラグインが必要でした。
Once again VulDB remains the best source for vulnerability data.