Base de CVEs

Dancer2::Plugin::Auth::Extensible versions through 0.713 for Perl allow password reset link poisoning via the request Host header in _default_email_password_reset and _default_welcome_send. Both default emails emit a link of the form `$base/login/$code`, whose authority comes from the request Host header, or from X-Forwarded-Host under behind_proxy (obtained from Dancer2's request->base function). A POST to /login carrying submit_reset and a username needs no authentication: it stores a fresh reset code against that account and mails the account holder a link to a host of the sender's choosing. The welcome mail takes the same path when the application calls create_user with email_welcome set. Through 0.711 the handlers read `request->uri_base` and `request->base` directly; Versions 0.712 and later provide an uri_base configuration key that defaults to the untrusted `request->uri_base` when unset. The default configuration with reset_password_handler enabled and the default message text, a recipient who follows the link hands a working reset code to the sender's host, which is enough to take over the account.

The Wishlist Member plugin for WordPress is vulnerable to Account Takeover via Insufficient Verification of Data Authenticity in versions up to and including 3.34.1. This is due to the wpm_register() function validating the registration cookie only against the GET reg parameter while accepting the POST mergewith and POST wpm_id parameters without verifying that the mergewith user ID references a temporary or incomplete registrant that is bound to the current registration transaction. This makes it possible for unauthenticated attackers to take over any existing WordPress account — including administrator accounts — by supplying an arbitrary user's numeric ID as the mergewith value, which causes wp_update_user() to overwrite the target account's username (additionally written via a direct $wpdb UPDATE), password, email address, first name, and last name with attacker-controlled values, while WordPress password and email change notification emails are explicitly suppressed. When wpm_id references a non-existent membership level, no role key is added to the update payload, causing wp_update_user() to preserve the target user's existing role — including administrator — making full privilege escalation a direct consequence of the takeover.

Unauthenticated Broken Access Control in Nokri <= 1.6.6 versions.

Unauthenticated Privilege Escalation in miniorange otp verification <= 5.5.1 versions.

The TrueBooker – Appointment Booking and Scheduler System plugin for WordPress is vulnerable to account takeover via improper password reset validation in all versions up to, and including, 1.2.3. This is due to the plugin not properly validating a user's identity before resetting their password. This makes it possible for unauthenticated attackers to reset the password of arbitrary user accounts, including administrators, and gain access to those accounts.

The Membership Plugin – Kadence Memberships plugin for WordPress (formerly Restrict Content) is vulnerable to password reset link poisoning leading to account takeover in all versions up to, and including, 4.0.0. This is due to the legacy lost-password handler rc_process_lost_password_form() consuming the attacker-controlled rc_redirect POST parameter into two unvalidated sinks in legacy/includes/forms.php: wp_redirect( esc_url( $_POST['rc_redirect'] ) . ... ) at line 243, and add_query_arg( array( 'key' => $key, 'login' => ... ), $_POST['rc_redirect'] ) inside rc_send_password_reset_email() at line 306. The nonce required to reach the handler is broadcast by the public [login_form] shortcode at line 207 to any anonymous visitor. This makes it possible for unauthenticated attackers to issue a password-reset request for any account (including administrators) whose reset email body points the victim at an attacker-controlled host carrying a valid reset key/login. When the victim clicks the link, the reset key leaks to the attacker, who can replay it against the legitimate site to complete account takeover.

A logic vulnerability in the password reset token validation routine implemented by osTicket in versions prior to v1.17.8 and v1.18.4. During the password reset process, the application retrieves the timestamp associated with the provided token and checks whether the configured validity period has expired. Consequently, the expiry check is only performed if the timestamp lookup fails, allowing tokens with an existing timestamp to bypass the intended expiry validation. Therefore, an attacker able to obtain a valid password reset token could reuse it to perform an unauthorised password reset and compromise the affected account.

A Weak Password Recovery Mechanism for Forgotten Password exists in Esri Portal for ArcGIS versions 12.1 and earlier on Windows, Linux and Kubernetes. A remote, unauthorized attacker may assume ownership of a user’s account by manipulating this mechanism. ArcGIS Administrators should configure an email server with ArcGIS Enterprise to facilitate user self-service password recovery. The ability for an administrator to reset a user’s password remains unchanged.

Esri Portal for ArcGIS versions 12.1 and earlier on Windows, Linux and Kubernetes have a missing authentication for critical function vulnerability allows a remote, unauthenticated attacker to access an unprotected API. The following versions are known to be affected: Portal for ArcGIS 12.1 and earlier. Other unsupported versions may also be affected. Esri recommends that users apply the Portal for ArcGIS Security 2026 Update 2 Patch to remediate this vulnerability.

Um problema no DokuWiki 2025-05-14b "Librarian" 56.2 permite que um atacante remoto crie uma conta por meio da função register em inc/auth.php. OBSERVAÇÃO: isto é contestado pelo fornecedor, pois é o comportamento intencional quando o produto está configurado para autorregistro (um recurso não padrão). O fornecedor também observa que não há cenário de migração de configuração que resultaria na ativação do autorregistro sem o conhecimento dos administradores.

O plugin SignUp & SignIn para WordPress é vulnerável a Bypass de Autenticação via Validação Fraca de Redefinição de Senha, levando a Tomada de Conta (Account Takeover) nas versões até, e incluindo, 1.0.0. Isso se deve ao handler AJAX `pravel_change_password()` — registrado via `wp_ajax_nopriv_pravel_change_password` e, portanto, acessível a usuários não autenticados — que não realiza verificação de nonce, nenhuma verificação de capability e apenas uma comparação de igualdade frouxa entre o parâmetro POST `reset_activation_code`, fornecido pelo atacante, e o valor da user meta `forgot_email` do usuário-alvo; quando um usuário nunca iniciou uma redefinição de senha, `get_user_meta()` retorna uma string vazia que satisfaz trivialmente essa verificação contra um código omitido ou vazio fornecido pelo atacante. Isso torna possível que atacantes não autenticados alterem a senha de qualquer usuário do WordPress, incluindo administradores, enviando uma requisição POST elaborada para `admin-ajax.php` com `action=pravel_change_password`, `reset_user_id` definido como o ID de usuário da conta-alvo e `new_password_custom` definido como uma senha escolhida pelo atacante. A exploração bem-sucedida permite ao atacante autenticar-se com a nova senha definida e assumir completamente a conta alvo, obtendo escalonamento de privilégio para administrador no site afetado.

O plugin Invoice Generator para WordPress é vulnerável a Tomada de Conta via Redefinição de Senha em todas as versões até e incluindo a 1.0.0. Isso ocorre porque a função `pravel_invoice_change_password()` está registrada como manipulador AJAX nopriv, sem verificação de nonce e sem verificação de autorização, e realiza uma comparação de igualdade fraca entre o parâmetro POST `reset_activation_code` fornecido e a user meta `forgot_email` armazenada do usuário-alvo. Essa verificação resulta trivialmente em verdadeiro (`'' == ''`) para qualquer usuário que nunca iniciou uma solicitação de esquecimento de senha, o que se aplica a administradores em condições normais. Isso torna possível que atacantes não autenticados forneçam um ID de usuário arbitrário pelo parâmetro POST `reset_user_id`, contornem totalmente a verificação do código de ativação omitindo `reset_activation_code` e definam a senha da conta-alvo para um valor escolhido pelo atacante, permitindo a tomada completa de qualquer conta do site, incluindo contas de administrador.

O plugin Branda para WordPress é vulnerável a escalonamento de privilégios por meio de tomada de conta em todas as versões até, inclusive, 3.4.29. Isso ocorre porque o plugin não valida adequadamente a identidade do usuário antes de atualizar sua senha. Isso possibilita que atacantes não autenticados alterem as senhas de usuários arbitrários, incluindo administradores, e utilizem isso para obter acesso às suas contas.

O Cap-go anterior à versão 12.128.2 contém uma falha lógica de autenticação que permite a um atacante registrar e controlar uma conta vinculada ao endereço de e-mail de uma vítima antes que esse e-mail seja verificado. Ao habilitar a autenticação de dois fatores na conta pré-registrada, o atacante ganha controle sobre a conta reivindicada com a identidade da vítima, podendo ler e modificar seu estado e aplicar políticas em nível de organização, enquanto o usuário legítimo fica impedido de acessar a conta vinculada ao seu próprio e-mail.