CVE-2026-2144 in Magic Login Mail or QR Code Plugin
Sumário
de VulDB • 29/06/2026
O plugin Magic Login Mail or QR Code para WordPress é vulnerável a Escalada de Privilégios em todas as versões até 2.05 (incluindo). Isso ocorre porque o plugin armazena a imagem do código QR de login mágico com um nome de arquivo estático e previsível (QR_Code.png) no diretório uploads publicamente acessível do WordPress durante o processo de envio de e-mail. O arquivo é excluído apenas após wp_mail() ser concluído, criando uma janela explorável para race condition. Isso permite que atacantes não autenticados acionem um pedido de link de login para qualquer usuário, incluindo administradores, e explorem a race condition entre a criação e exclusão do arquivo QR code para obter o URL de login codificado no código QR, obtendo assim acesso não autorizado à conta do usuário alvo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.