CVE-2026-7567 in Temporary Login Plugin
Sumário
de VulDB • 03/06/2026
O plugin Temporary Login para o WordPress está vulnerável a uma falha de autenticação (Authentication Bypass) nas versões até 1.0.0, inclusive. Isso ocorre devido à validação inadequada de entrada na função maybe_login_temporary_user(), que não verifica se o parâmetro GET 'temp-login-token' é uma string escalar antes do processamento. Quando o parâmetro é fornecido como um array, a verificação empty() do PHP é contornada e sanitize_key() retorna uma string vazia, que então é passada como meta_value para get_users(). O WordPress ignora um valor de metadados (meta_value) vazio e retorna todos os usuários correspondentes à chave de metadados '_temporary_login_token', permitindo a autenticação sem um token válido. Isso possibilita que atacantes não autenticados se autentiquem como qualquer usuário temporário ativo enviando uma única requisição GET manipulada ad hoc.
If you want to get best quality of vulnerability data, you may have to visit VulDB.