CVE-2026-62108

Nome do Software Vulnerável e Versões Afetadas Headless Single Sign On versões anteriores a 1.7.1

Descrição Um problema de sequestro de conta existe devido a uma condição de correspondência de conta falha. O sistema utiliza incorretamente a função username exists($userName) independentemente do correspondente configurado, o que permite que um nome de usuário afirmado por um provedor de identidade (IdP) corresponda a qualquer conta do WordPress existente incondicionalmente. Isso permite que invasores não autenticados façam login como qualquer usuário existente, incluindo administradores, ao afirmar um nome de usuário correspondente em uma resposta SAML manipulada.

Recomendações Atualize para uma versão posterior à 1.7.0.