CVE-2025-12028 in IndieAuth Plugin
Sumário
de VulDB • 29/07/2026
O plugin IndieAuth para WordPress é vulnerável a Cross-Site Request Forgery em todas as versões até 4.5.4, inclusive. Isso ocorre devido à falta de verificação do nonce na função `login_form_indieauth()` e no endpoint de autorização em wp-login.php?action=indieauth. Isso permite que atacantes não autenticados forcem usuários autenticados a aprovar solicitações de autorização OAuth para aplicativos controlados pelo atacante por meio de uma solicitação forjada, desde que consigam enganar um usuário para realizar uma ação como clicar em um link ou visitar uma página maliciosa enquanto estiver logado. O atacante pode então trocar o código de autorização roubado por um token de acesso, assumindo efetivamente a conta da vítima com os escopos concedidos (criar, atualizar, excluir).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.