CVE-2026-19256 Toma de control de cuentas en All In One Login por fuerza bruta de OTP
El plugin All In One Login de WordPress antes de 2.5.0 no limita adecuadamente la cantidad de intentos contra el código numérico corto de su inicio de sesión sin contraseña por correo, habilitado por defecto, y no registra esos intentos fallidos en su propia protección contra fuerza bruta, lo que permite a atacantes no autenticados tomar el control de cualquier cuenta, incluidos administradores.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
All In One Login
desde 2.4.0 hasta antes de 2.5.0
Qué hacer
- Verificá si usás All In One Login y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.8 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The All In One Login WordPress plugin before 2.5.0 does not adequately restrict the number of attempts that can be made against the short numeric code used by its default-enabled passwordless email login, and does not feed those failed attempts into its own brute-force protection, allowing unauthenticated attackers to take over any account including administrators.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.