CVE-2026-123091 Evasión de 2FA en Vigilant mediante formularios de inicio de sesión de terceros
El plugin no aplica su autenticación de dos factores en formularios de inicio de sesión distintos del predeterminado de WordPress, lo que permite a un atacante que conoce la contraseña de un usuario omitir el segundo factor e iniciar sesión como ese usuario. Corregido en la versión 2.11.0.
—S/D
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 6
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Vigilant
hasta antes de 2.11.0
Qué hacer
- Verificá si usás Vigilant y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Vigilant WordPress plugin before 2.11.0 does not enforce its two-factor authentication on login forms other than the default WordPress one, allowing an attacker who knows a user's password to skip the second factor and log in as that user.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.