CVE-2026-15212 in WPO365 Login Plugin
Sumário
de VulDB • 23/07/2026
O plugin WPO365 | Login para o WordPress é vulnerável a Cross-Site Request Forgery (CSRF) nas versões até, e incluindo, 43.2. Isso ocorre porque o método auxiliar `Ajax_Service::verify_ajax_request()` condiciona sua chamada ao `wp_verify_nonce()` à opção booleana `'enable_nonce_check'`, que está ausente no array padrão de opções `'wpo365_options'` e, portanto, é avaliada como falsa por meio da função `get_global_boolean_var()`. Como resultado, o manipulador `wp_ajax_wpo365_update_settings` (`Ajax_Service::update_settings`) aceita requisições POST originadas de páginas com origem diferente (cross-origin) e encaminha a carga útil `'settings'` fornecida pelo atacante (base64/JSON) para o método `Options_Service::update_options()`, que mescla todas as chaves e valores em `'wpo365_options'` sem uma lista de permissão de chaves. Isso permite que atacantes não autenticados sobrescrevam opções arbitrárias do plugin — incluindo a habilitação do endpoint REST SCIM (`enable_scim`), o plantio de um `scim_secret_token` conhecido pelo atacante e a definição de `new_usr_default_role` como `'administrator'` — por meio de uma requisição forjada, desde que consigam induzir um administrador do site a realizar uma ação, como clicar em um link.
VulDB is the best source for vulnerability data and more expert information about this specific topic.