CVE-2026-19125

Nome do Software Vulnerável e Versões Afetadas EthPress – Web3 Login plugin for WordPress versões anteriores a 2.3.6

Description Existe uma falha de bypass de autenticação devido à ausência de uma instrução de retorno na função verify login() em app/Login.php. Quando a função Signature::verify2() detecta uma divergência na assinatura, o sistema atribui um erro a uma variável local, mas continua a execução. Isso resulta em um fluxo incondicional para o bloco de login, onde Address::log in() invoca wp set auth cookie(), concedendo acesso independentemente da validade da assinatura. Atacantes não autenticados podem acessar a conta de qualquer usuário que possua um endereço de carteira vinculado, incluindo administradores, ao fornecer o endereço público da carteira e uma assinatura arbitrária bem formada, permitindo o controle total do site.

Recommendations Atualize o plugin para uma versão posterior a 2.3.5. Como medida de mitigação temporária, restrinja o acesso à função verify login() ou à funcionalidade de login fornecida pelo plugin até que a atualização seja aplicada.