CVE-2026-2144 in Magic Login Mail or QR Code Plugin
摘要
由 VulDB • 2026-07-02
WordPress 插件 Magic Login Mail or QR Code 在所有不高于 2.05 的版本中存在权限提升漏洞。该问题是由于在发送电子邮件的过程中，插件将魔法登录二维码图片以可预测的静态文件名（QR_Code.png）存储在 WordPress 公共上传目录中所致。该文件仅在 wp_mail() 函数执行完毕后才会被删除，从而形成了一个可利用的竞争条件窗口。这使得未经身份验证的攻击者能够触发任何用户（包括管理员）的登录链接请求，并利用 QR 码文件的创建与删除之间的竞争条件来获取编码在二维码中的登录 URL，进而获得对目标用户账户的非授权访问权限。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.