CVE-2026-7567: Temporary Login para WordPress até 1.0.0 - Bypass de Autenticação

Visão geral

O plugin Temporary Login para WordPress contém um bypass de autenticação nas versões até e incluindo a 1.0.0. O registro atribui a falha a uma validação fraca de entrada no tratamento do parâmetro de token de login temporário, o que pode permitir que um visitante não autenticado seja autenticado como um usuário com login temporário ativo. Detalhes publicados pela Wordfence e listados na entrada do NVD.

Impacto

Acesso remoto não autenticado a contas que possuem logins temporários ativos, podendo levar à tomada de conta.
O registro indica pontuação base CVSS 3.1 de 9.8 (Crítica), com alto impacto em confidencialidade, integridade e disponibilidade.
A fraqueza é classificada como CWE-288, bypass de autenticação por caminho ou canal alternativo.

Produtos e versões afetadas

O registro indica o produto como 'Elemntor Temporary Login' com versões 1.0.0 e anteriores. O nome do produto parece diferir do nome do plugin e deve ser conferido antes de ser usado.
Nenhuma versão corrigida consta no registro.

Status de exploração

A vulnerabilidade não consta no catálogo CISA KEV nos dados consultados.
Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
O registro SSVC indica exploração como none e automatizável como yes. A probabilidade EPSS é 0.02931, com percentil de 0.8675.

Correção e mitigação

Confirme se o plugin Temporary Login está instalado e qual versão está ativa em cada site WordPress.
Verifique no repositório do plugin e no aviso da Wordfence se há versão atualizada, já que o registro não informa versão corrigida.
Até que uma versão corrigida seja validada, considere desativar e remover o plugin caso a funcionalidade de login temporário não seja essencial.
Revise a lista de logins temporários ativos e revogue os que não forem necessários.
Analise a atividade recente de contas e renove credenciais de usuários cujas sessões pareçam inesperadas.

Orientação para detecção

Revise os logs do servidor web e de acesso em busca de requisições a caminhos de login que incluam o parâmetro temp-login-token, especialmente com formatos de parâmetro incomuns.
Monitore autenticações bem-sucedidas em contas que não deveriam ser acessadas, principalmente contas que tinham acesso temporário.
Correlacione eventos de autenticação com requisições de endereços IP desconhecidos ou user agents inesperados.

Limitações das informações disponíveis

O registro não informa versão corrigida, patch ou declaração do fornecedor além das fontes referenciadas.
O status da fonte está registrado como Deferred, então as informações podem mudar.
O nome do produto no registro difere do nome do plugin, por isso a entrada de produto afetado deve ser verificada de forma independente.
Os indicadores de exploração dependem dos valores KEV, EPSS e SSVC do registro e podem mudar com o tempo.

Perguntas frequentes

Quais versões do Temporary Login são afetadas pela CVE-2026-7567?

O registro indica as versões 1.0.0 e anteriores como afetadas. O nome do produto no registro difere do nome do plugin, então verifique a versão instalada diretamente.

Há versão corrigida disponível?

O registro não informa versão corrigida. Isso significa que o status de correção é desconhecido, e não que não exista correção. Verifique o repositório do plugin e o aviso da Wordfence.

Esta vulnerabilidade é conhecidamente explorada na prática?

Ela não consta no catálogo CISA KEV nos dados consultados, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.