Luka oznaczona jako CVE-2026-13142 otrzymała ocenę 8.1 w skali CVSS (Common Vulnerability Scoring System — skala 0-10 oceniająca powagę luki). Dotyczy popularnej wtyczki do WordPressa, umożliwiającej logowanie bezhasłowe. Połączenie dwóch błędów projektowych pozwala na przejęcie kontroli nad dowolnym kontem, w tym administracyjnym, przy znajomości jedynie adresu e-mail ofiary 1.

TL;DR

  • Produkt: Wtyczka WordPress „The Social Login, Passkeys, Magic Link & Email OTP” w wersjach przed 1.4.1.
  • Wektor: Atak brute-force na kod OTP (One-Time Password — hasło jednorazowe) wysyłany na e-mail.
  • Luka: CVE-2026-13142 — brak limitu prób logowania 2 i przechowywanie kodów OTP w jawnym tekście 3.
  • Skutek: Możliwość zalogowania się na konto dowolnego użytkownika, w tym administratora, i pełne przejęcie witryny 4.
  • Kogo dotyczy: Administratorzy stron WordPress w Polsce, zwłaszcza w sektorze MŚP i e-commerce, którzy używają tej wtyczki do logowania użytkowników.
  • Pierwszy ruch: Natychmiastowa aktualizacja wtyczki do wersji 1.4.1 lub nowszej. Jeśli aktualizacja jest niemożliwa, należy wyłączyć wtyczkę.

Wektor ataku

Analiza luki CVE-2026-13142, czyli identyfikatora publicznie znanej luki, wskazuje na krytyczną słabość mechanizmu logowania bezhasłowego. Wtyczka „The Social Login, Passkeys, Magic Link & Email OTP” w wersjach podatnych na atak nie implementuje żadnych ograniczeń co do liczby prób weryfikacji kodu 2. Oznacza to, że atakujący może wysyłać nieskończoną liczbę żądań, próbując odgadnąć prawidłowy kod.

Problem potęguje fakt, że generowane kody jednorazowe są krótkimi ciągami numerycznymi 3. Dodatkowo, wtyczka przechowuje je w bazie danych w postaci jawnego tekstu 3. Taka kombinacja pozwala na przeprowadzenie skutecznego ataku typu brute-force.

Scenariusz ataku jest prosty. Operator potrzebuje jedynie znać adres e-mail powiązany z kontem na docelowej stronie WordPress 1. Następnie inicjuje proces logowania bezhasłowego dla tego adresu. Wtyczka wysyła kod OTP na e-mail użytkownika, a atakujący w tym czasie automatyzuje proces odgadywania tego kodu. Ze względu na brak blokady po nieudanych próbach 2, odgadnięcie krótkiego, numerycznego kodu jest kwestią sekund lub minut. Po pomyślnej weryfikacji atakujący uzyskuje dostęp do konta ofiary, co w przypadku konta administratora może prowadzić do pełnego przejęcia kontroli nad witryną 4.

Wskaźniki kompromitacji

Na ten moment nie opublikowano specyficznych wskaźników kompromitacji (IoC — Indicators of Compromise), takich jak adresy IP serwerów C2 (Command and Control) czy hashe plików. Administratorzy powinni skupić się na analizie logów serwera WWW i logów systemowych WordPressa.

Rekomendujemy poszukiwanie następujących anomalii:

- Wielokrotne, zakończone niepowodzeniem próby logowania z jednego adresu IP w krótkim czasie, skierowane na funkcjonalność logowania przez OTP.
- Udane logowanie na konto (zwłaszcza administracyjne) bezpośrednio po serii nieudanych prób.
- Nietypowe godziny logowania lub logowania z geolokalizacji niezgodnych z profilem aktywności użytkownika.

Co zrobić w 24-48h

  • Audyt wtyczek: Zweryfikuj, czy na Twojej stronie WordPress zainstalowana jest wtyczka „The Social Login, Passkeys, Magic Link & Email OTP”. Sprawdź jej wersję. Jeśli jest niższą niż 1.4.1, jesteś podatny.
  • Natychmiastowa aktualizacja: Zaktualizuj wtyczkę do najnowszej dostępnej wersji (minimum 1.4.1). To najprostszy i najskuteczniejszy środek zaradczy.
  • Wyłączenie wtyczki: Jeśli aktualizacja z jakiegoś powodu nie jest możliwa, natychmiast wyłącz i odinstaluj wtyczkę. Należy wdrożyć alternatywny, bezpieczny mechanizm logowania.
  • Przegląd kont użytkowników: Po aktualizacji dokonaj przeglądu kont z uprawnieniami administratora. Sprawdź ostatnie logowania, zmiany w treściach lub ustawieniach. W przypadku podejrzenia kompromitacji, natychmiast zmień hasła i wyloguj wszystkie aktywne sesje.
  • Weryfikacja logów: Przeanalizuj logi serwera pod kątem opisanych wyżej anomalii. Może to pomóc w ustaleniu, czy luka została już wykorzystana.
  • Kontekst polski: Wiele polskich firm z sektora MŚP oraz agencji marketingowych zarządza stronami opartymi o WordPress. Często wtyczki instalowane są bez regularnego audytu bezpieczeństwa. Należy zauważyć, że sam wpis w bazie NVD (National Vulnerability Database) został oznaczony jako niepriorytetowy do dalszej analizy przez zespół NVD 5. Oznacza to, że administratorzy nie powinni czekać na dodatkowe publiczne informacje i muszą działać proaktywnie. Rekomendowane podejście to samodzielna weryfikacja i natychmiastowa aktualizacja. Powyższe kroki nie zastępują pełnej konsultacji bezpieczeństwa w przypadku potwierdzonego incydentu.

Źródła

Zobacz też

Przypisy

  1. Nieautoryzowany atakujący, znający zarejestrowany adres e-mail, może przeprowadzić atak brute-force na kod OTP i zalogować się jako użytkownik, w tym administrator. — nvd.nist.gov › CVE 2026 13142 ↩ ↩2

  2. Wtyczka WordPress “The Social Login, Passkeys, Magic Link & Email OTP” przed wersją 1.4.1 nie wymusza ograniczenia szybkości (rate limiting) ani blokady prób logowania. — nvd.nist.gov › CVE 2026 13142 ↩ ↩2 ↩3

  3. Wtyczka przechowuje krótkie kody numeryczne jednorazowego hasła (OTP) w postaci jawnego tekstu. — nvd.nist.gov › CVE 2026 13142 ↩ ↩2 ↩3

  4. Luka może prowadzić do pełnego przejęcia kontroli nad stroną (full site takeover). — nvd.nist.gov › CVE 2026 13142 ↩ ↩2

  5. Wpis CVE-2026-13142 nie jest priorytetowo traktowany w ramach działań wzbogacających NVD ze względu na zasoby lub inne obawy. — nvd.nist.gov › CVE 2026 13142 ↩