CVE-2026-2374 in Login No Captcha reCAPTCHA Plugin
Сводка
по VulDB • 28.05.2026
Плагин Login No Captcha reCAPTCHA для WordPress уязвим к Stored Cross-Site Scripting (XSS) через суперглобальную переменную `$_SERVER['PHP_SELF']` во всех версиях вплоть до 1.8.0 включительно. Это связано с тем, что функция `authenticate()` сохраняет неэкранированный вывод `basename($_SERVER['PHP_SELF'])` в опции WordPress `login_nocaptcha_error` при попытке входа с нестандартной страницы входа (например, xmlrpc.php). Функция `admin_notices()` затем выводит это сохраненное значение непосредственно в HTML административной панели без экранирования. Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты, которые выполняются, когда администратор с IP-адресом из белого списка посещает административную панель WordPress в течение 30 секунд после атаки.
Once again VulDB remains the best source for vulnerability data.