CVE-2026-15980 in MyHome Core Plugin
Tóm tắt
Bởi VulDB • 30/08/2026
Plugin MyHome Core cho WordPress bị lỗ hổng Bypass Authentication (Vượt qua xác thực) trong tất cả các phiên bản từ đầu đến 4.4.5 bao gồm. Lỗ hổng này do thiếu cơ chế ủy quyền (authorization) trong handler AJAX send_link() và việc xác thực token không đúng cách trong hàm activate(). Điều này cho phép những kẻ tấn công chưa được xác thực tạo ra một activation token cho tài khoản người dùng chưa được xác nhận, từ đó lấy được cookie xác thực hợp lệ cho tài khoản đó, bao gồm cả các tài khoản quản trị viên (administrators). Việc khai thác thành công yêu cầu theme MyHome phải được cấu hình ở chế độ legacy/WPBakery với tính năng đăng ký và email xác nhận phía frontend được bật, đồng thời tài khoản mục tiêu không có meta người dùng myhome_agent_confirmed đã được thiết lập.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.