中危

Custom Login <= 4.1.0未授权访问漏洞

2023-12-07 00:00:00 公开，2026-05-08 07:43:43 更新

CISA KEV
关键漏洞
远程
无需认证
CWE Top 25 (2023)
CWE Top 25 (2024)

CWEs：: CWE-862 （Missing Authorization）
CAPEC：: CAPEC-180 （Exploiting Incorrectly Configured Access Control Security Levels）
SSVC：: 可利用状态：暂无利用迹象攻击自动化：否技术影响评估：部分 2024-12-10 01:37:03

风险信息

CVSS v3.1 向量: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
CVSS v3.1 风险值: 5.3

详细信息

漏洞类型: 其他
漏洞描述: 在4.1.0之前（含4.1.0）的版本中，由于对未知功能缺少功能检查，Custom Login plugin for WordPress容易受到未经授权的访问。这使得具有订户级及以上访问权限的经过身份验证的攻击者有可能执行未经授权的操作。
修复建议: 升级到4.1.1或更高版本。参考链接： https://wordpress.org/plugins/custom-login/

参考链接