CVE-2026-6292

Nome do Software Vulnerável e Versões Afetadas MP Customize Login Page versões anteriores a 1.1

Descrição O plugin MP Customize Login Page para WordPress está sujeito a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana um usuário autenticado para realizar ações indesejadas. O problema reside na função enter mpclp login options(), que contém uma verificação de nonce invertida e carece do parâmetro de ação necessário, tornando a verificação de segurança ineficaz. Além disso, o manipulador de atualização de configurações está conectado ao init sem verificações de capacidade. Isso permite que invasores não autenticados modifiquem as configurações do plugin, como o plano de fundo da página de login, a URL do logotipo, as dimensões da imagem, as cores dos botões e a mensagem de login, induzindo um administrador a enviar uma solicitação manipulada.

Recomendações Atualize para uma versão posterior a 1.0. Como medida paliativa temporária, restrinja o acesso às configurações do plugin ou desative a função enter mpclp login options() até que uma correção seja aplicada.