CVE-2026-18470: Enumeration Email in Login & Register Forms

CVE-2026-18470 è una vulnerabilità di enumeration email nel plugin WordPress 'Login & Register Forms' in versioni precedenti alla 4.0.2. La falla consente a utenti non autenticati di ottenere indirizzi email di utenti registrati sulla piattaforma, inclusi gli amministratori, sfruttando il meccanismo di password reset che non verifica adeguatamente l'owner della richiesta e restituisce informazioni sensibili non redatte.

Il CVSS assegnato è 7,5, classificato come HIGH. La vulnerabilità è stata pubblicata dall'NVD il 10 agosto 2026. Sono segnalati repository pubblici su GitHub che dichiarano di contenere materiale correlato alla vulnerabilità, con attività recente. Non sono disponibili segnali pubblici su social media che indichino sfruttamento in massa.

Per i difensori: aggiornare immediatamente il plugin 'Login & Register Forms' alla versione 4.0.2 o successiva. Verificare nei log di accesso e nei registri di password reset se ci sono stati tentativi di enumeration di email verso i vostri sistemi WordPress. Se il plugin non è più necessario, disabilitarlo o rimuoverlo è la scelta più sicura. Monitorare i vostri indirizzi email amministratore per attività sospette.