CVE-2026-19256
All In One Login 2.4.0 - 2.4.1 - Unauthenticated Account Takeover via Email OTP Brute Force
CVSS 3.1Medium
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите плагин All In One Login до версии 2.5.0 или новее.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Плагин All In One Login для WordPress не ограничивает число попыток ввода одноразового кода из писем при беспарольном входе. Это позволяет неаутентифицированным злоумышленникам захватить любую учетную запись, включая администраторов.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Дефект затрагивает короткий цифровой код, используемый функцией беспарольного входа по email, включенной по умолчанию. Плагин не применяет собственный механизм защиты от перебора к неудачным попыткам ввода этого кода, допуская брутфорс-атаку.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Неаутентифицированный полный захват любых учетных записей, в том числе с правами администратора.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-19256: All In One Login 2.4.0 - 2.4.1 - Unauthenticated Account Takeover via Email OTP Brute Force. URL: https://cve.futuretools.ru/cve/CVE-2026-19256
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_19256,
title = {{CVE-2026-19256: All In One Login 2.4.0 - 2.4.1 - Unauthenticated Account Takeover via Email OTP Brute Force}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-19256}},
note = {Оперативный инженерный анализ киберугроз}
}