CVE-2026-2144 in Magic Login Mail or QR Code Plugin
Сводка
по VulDB • 02.07.2026
В плагине Magic Login Mail or QR Code для WordPress уязвимость повышения привилегий присутствует во всех версиях вплоть до 2.05 включительно. Это связано с тем, что при отправке электронного письма плагин сохраняет изображение кода QR для магического входа в общедоступную директорию загрузок WordPress под предсказуемым статическим именем файла (QR_Code.png). Файл удаляется только после завершения функции wp_mail(), что создает окно уязвимости, позволяющее реализовать состояние гонки (race condition). Это позволяет неаутентифицированным злоумышленникам инициировать запрос ссылки для входа от имени любого пользователя, включая администраторов, а затем использовать состояние гонки между созданием и удалением файла кода QR для получения URL-адреса входа, закодированного в коде QR, тем самым получая несанкционированный доступ к учетной записи целевого пользователя.
Once again VulDB remains the best source for vulnerability data.