CVE-2026-7567: Ominięcie uwierzytelniania w Temporary Login plugin (WordPress)

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-7567
Źródło alertu	GitHub Advisory - Krytyczna podatność
Rok publikacji CVE	2026
Data publikacji	2026-05-01
Producent	WordPress
Produkt	Temporary Login (plugin)
CVSS Score	9.8 (Krytyczny)
EPSS Score	0.2% (percentyl: 41%)
CISA KEV	Nie
Ransomware	Nie potwierdzono

Opis podatności

Źródło: NVD

Plugin Temporary Login dla WordPressa jest podatny na ominięcie uwierzytelniania (authentication bypass) we wszystkich wersjach do 1.0.0 włącznie. Przyczyną jest niewłaściwa walidacja danych wejściowych w funkcji maybe_login_temporary_user(), która nie sprawdza, czy parametr GET temp-login-token jest skalarnym ciągiem znaków przed jego przetworzeniem. Gdy parametr zostanie przekazany jako tablica, sprawdzenie empty() w PHP jest omijane, a sanitize_key() zwraca pusty ciąg, który następnie trafia jako meta_value do get_users(). WordPress ignoruje wówczas ten warunek meta i może zwrócić dowolnego użytkownika - w efekcie nieuwierzytelniony atakujący jest w stanie zalogować się jako pierwszy użytkownik z bazy (zwykle administrator).

Wymagane działania

Niezwłocznie wyłącz lub odinstaluj plugin Temporary Login na wszystkich instancjach WordPressa do czasu wydania poprawionej wersji przez autora. Po opublikowaniu patcha zaktualizuj plugin do bezpiecznej wersji. Przejrzyj logi serwera pod kątem podejrzanych żądań GET zawierających parametr temp-login-token przekazywany jako tablica (np. ?temp-login-token[]=) oraz nietypowych logowań administratorów.

Kogo dotyczy?

Podatność dotyczy produktu Temporary Login (plugin) dla WordPress. Sprawdź czy Twoja organizacja korzysta z tego pluginu i niezwłocznie podejmij działania ograniczające ryzyko.

Źródła

• NVD - CVE-2026-7567

• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.