CVE-2026-119980 Acceso no autorizado a cuentas en UsersWP por contraseña predecible de usuarios dummy
El plugin UsersWP para WordPress deriva la contraseña compartida de sus 25 cuentas de usuario dummy de los primeros 15 caracteres de un hash SHA256 de AUTH_KEY y site_url(), mientras el valor completo de ese mismo hash se incluye en el campo oculto uwp_register_hash de cada formulario de registro. Esto permite a atacantes no autenticados recuperar la contraseña dummy desde una sola respuesta del formulario, accesible vía /register/ y el handler AJAX wp_ajax_nopriv_uwp_ajax_register_form incluso con el registro…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 18
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
stiofansisland UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WP
hasta 1.2.78
Qué hacer
- Verificá si usás UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WP y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WordPress is vulnerable to unauthorized account access via Use of Predictable Password in all versions up to, and including, 1.2.78 The vulnerability exists because `get_dummy_user_passowrd()` derives the shared password for all 25 built-in dummy user accounts as the first 15 characters of `substr(hash('SHA256', AUTH_KEY . site_url()), 0, 25)`, while the full 25-character value of that same hash is simultaneously embedded in the hidden `uwp_register_hash` field rendered on every registration form response — reachable without authentication via both the public `/register/` page and the `wp_ajax_nopriv_uwp_ajax_register_form` AJAX handler, even when user registration is disabled. This makes it possible for unauthenticated attackers to recover the dummy user password directly from a single HTTP request and use it to authenticate as any of the 25 built-in dummy accounts (such as antawn, chynna, or kiki) through `wp-login.php`, potentially achieving privilege escalation if any dummy account holds an elevated role. Exploitation requires that an administrator has previously created dummy users via the plugin's Tools page.
Referencias (7)
- www.wordfence.com/threat-intel/vulnerabilities/id/7c458034-9c44-4b46-8845-4c05bea043a0?so…
- plugins.trac.wordpress.org/browser/userswp/tags/1.2.78/includes/class-tools.php#L606
- plugins.trac.wordpress.org/browser/userswp/tags/1.2.78/includes/class-templates.php#L850
- plugins.trac.wordpress.org/browser/userswp/tags/1.2.78/includes/class-forms.php#L5244
- plugins.trac.wordpress.org/browser/userswp/tags/1.2.78/includes/class-userswp.php#L565
- github.com/AyeCode/userswp/archive/refs/heads/master.zip
- plugins.trac.wordpress.org/changeset/3774438/userswp/trunk/includes/class-tools.php
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.