CVE-2026-103898

Nome do Software Vulnerável e Versões Afetadas Wp Social Login and Register Social Counter versões anteriores a 3.2.3

Descrição Existe uma falha de bypass de autenticação devido ao callback REST de login social registrado no endpoint /wp-json/wslu-social-login/type/{provider}/ utilizando permission callback => return true. O sistema identifica contas existentes do WordPress baseando-se apenas na string de e-mail fornecida pelo provedor OAuth e executa wp set auth cookie() sem verificar a senha. A verificação !empty($getProfile->emailVerified) em inc/admin-create-user.php não funciona corretamente para os adaptadores Hybridauth do Facebook e Twitter inclusos, pois esses adaptadores atribuem a string de e-mail bruta em vez de uma flag booleana de verificação à variável emailVerified. Isso permite que um invasor não autenticado obtenha uma sessão totalmente autenticada como qualquer usuário, incluindo Administradores, desde que controle uma conta OAuth com um endereço de e-mail correspondente à conta do WordPress alvo.

Recomendações Atualize o plugin para uma versão posterior à 3.2.2. Como mitigação temporária, restrinja o acesso ao endpoint /wp-json/wslu-social-login/type/{provider}/.