CVE-2026-19256: Account Takeover su All In One Login

All In One Login <2.5.0: brute force su OTP consente account takeover senza autenticazione. CVSS 9,8

CVE-2026-19256 identifica una vulnerabilità critica nel plugin WordPress All In One Login che consente l'acquisizione non autorizzata di account. Il difetto risiede nel meccanismo di login senza password tramite codice OTP inviato via email: il plugin non limita adeguatamente il numero di tentativi di brute force contro il codice numerico breve e non integra la protezione contro forza bruta. Attaccanti non autenticati possono compromettere qualsiasi account, inclusi gli amministratori del sito WordPress.

La vulnerabilità ha un punteggio CVSS di 9,8, rientrando nella categoria Critical. È stata confermata e pubblicata su NVD il 2026-11-05. Il plugin All In One Login è popolare tra gli amministratori WordPress per semplificare l'autenticazione. I segnali da media tecnici (ultimi 24 ore) confermano l'attenzione della comunità sulla falla, senza tuttavia riportare exploit pubblici confermati. La patch ufficiale è stata rilasciata con la versione 2.5.0.

Gli amministratori WordPress devono aggiornare immediatamente All In One Login alla versione 2.5.0 o successive. Prima dell'aggiornamento, consigliamo di verificare i log di accesso per individuare eventuali accessi non autorizzati ai profili amministratore. Se il plugin è critico, considerare di disabilitarlo temporaneamente fino al completamento dell'aggiornamento. Monitorare i SIEM per pattern di brute force su account locali WordPress durante il periodo di vulnerabilità.

In sintesi

Cosa: Il plugin WordPress All In One Login prima della versione 2.5.0 non limita adeguatamente i tentativi di brute force contro il codice numerico breve usato dal login via email senza password. Non integra la protezione contro brute force, permettendo ad attaccanti non autenticati di acquisire il controllo di qualsiasi account WordPress, inclusi amministratori.
Gravità: CVSS 9,8 (Critical). Vulnerabilità critica che consente l'acquisizione non autorizzata di account amministratore e utente senza richiedere autenticazione preliminare.
Versioni interessate: All In One Login versioni 2.4.0 e precedenti fino a 2.5.0 (escluso). Versione corretta: 2.5.0 e successive.
Correzione: Aggiornare il plugin All In One Login alla versione 2.5.0 o successive. Il fix è stato pubblicato ufficialmente.
Stato: Vulnerabilità confermata da NVD il 2026-11-05. Patch rilasciata. Non sono stati segnalati exploit pubblici confermati al momento della pubblicazione.
Azione: Amministratori WordPress devono aggiornare immediatamente il plugin All In One Login a 2.5.0+. Verificare che nessun account sia stato compromesso nei log di accesso. Disabilitare il plugin pendente l'aggiornamento se critico per il servizio.

Fonti: NVD, CVE-2026-19256

← Tutti gli articoli