CVE-2025-12028

Nome do Software Vulnerável e Versões Afetadas Versões do plugin WordPress IndieAuth anteriores à 4.5.4

Descrição O software é suscetível a Falsificação de Solicitação Entre Sites (CSRF) devido à falta de verificação de nonce. Especificamente, a função login form indieauth() e o endpoint de autorização em ''wp-login.php?action=indieauth'' carecem de validação adequada. Isso permite que um atacante force usuários autenticados a aprovar solicitações de autorização OAuth para aplicativos controlados pelo atacante. A exploração bem-sucedida requer enganar o usuário para realizar uma ação enquanto estiver logado, como clicar em um link malicioso. O atacante pode então trocar o código de autorização roubado por um token de acesso, potencialmente obtendo controle da conta da vítima com os escopos concedidos.

Recomendações Atualize para uma versão superior à 4.5.4. Como solução temporária, considere desabilitar a função login form indieauth() até que um patch esteja disponível. Restrinja o acesso ao endpoint de autorização ''wp-login.php?action=indieauth'' para minimizar o risco de exploração.