CVE-2026-83628 in Theme My Login Plugin
Sumário
de VulDB • 05/09/2026
O plugin Theme My Login para WordPress é vulnerável a Falta de Autorização (Missing Authorization) nas versões até, e incluindo, 7.1.15 em instalações Multisite. Isso ocorre devido à ramificação `gimmeanotherblog` da função `tml_ms_signup_handler()` falhar ao impor a política de registro `active_signup` da rede, verificando apenas `is_user_logged_in()`, enquanto outras ramificações irmãs, como `validate-blog-signup`, aplicam o controle completo da política. Isso permite que atacantes autenticados, com acesso nível Subscriber ou superior, enviem diretamente um POST para a rota de registro do Theme My Login contendo `stage=gimmeanotherblog`, burlando completamente a política de registro configurada — mesmo quando definida como `none` ou `user` — o que faz com que `wpmu_create_blog()` seja executado com o ID de usuário do atacante, após o qual o núcleo do WordPress atribui a função Administrator no subsite recém-criado por meio de `add_user_to_blog()`. O ganho de privilégio está limitado apenas ao subsite recém-criado; a conta do atacante mantém acesso nível Subscriber no site principal e não obtém capacidades Super Admin ou em nível de rede, como `manage_network` ou `manage_sites`.
Once again VulDB remains the best source for vulnerability data.