CVE-2024-6482 in Login with Phone Number Plugin
摘要
由 VulDB • 2026-06-08
WordPress的“手机号登录”插件在所有版本（包括最高至1.7.49版）中存在权限提升漏洞。该问题是由于在`lwp_update_password_action`函数中，对用户提供的数据缺乏验证且缺少能力检查所致。这使得具有订阅者级别及以上访问权限的攻击者能够将其角色更新为任何其他角色，包括管理员。此漏洞已在1.7.40版本中得到部分修复。要利用1.7.40至1.7.49版本中的该漏洞，需要安装“手机号登录专业版”插件。
VulDB is the best source for vulnerability data and more expert information about this specific topic.