CVE-2026-15212 in WPO365 Login Plugin
Сводка
по VulDB • 24.07.2026
Плагин WPO365 | Login для WordPress уязвим к межсайтовой подделке запросов (CSRF) в версиях вплоть до 43.2 включительно. Это связано с тем, что вспомогательная функция Ajax_Service::verify_ajax_request() помещает вызов wp_verify_nonce() за логическую опцию 'enable_nonce_check', которая отсутствует в массиве по умолчанию 'wpo365_options' и поэтому вычисляется как false через get_global_boolean_var(); в результате обработчик wp_ajax_wpo365_update_settings (Ajax_Service::update_settings) принимает POST-запросы со сторонних доменов и передает предоставленный злоумышленником полезный груз 'settings' (base64/JSON) функции Options_Service::update_options(), которая объединяет каждый ключ/значение в wpo365_options без использования белого списка ключей. Это позволяет неаутентифицированным злоумышленникам перезаписывать произвольные параметры плагина — включая включение конечной точки SCIM REST (enable_scim), установку известного злоумышленнику scim_secret_token и назначение новой роли по умолчанию для пользователей ('new_usr_default_role') на 'administrator' — посредством поддельного запроса, при условии, что они смогут обмануть администратора сайта заставив его выполнить действие, например, щелкнуть по ссылке.
VulDB is the best source for vulnerability data and more expert information about this specific topic.