CVE-2021-24998
Publiée le 2021-12-27 · Dernière modification le 2026-06-17
Les sites WordPress utilisant le plugin Simple JWT Login dans une version antérieure à la 3.3.0 sont susceptibles de permettre la création non autorisée de comptes. Comme le plugin utilise une méthode prévisible pour générer les mots de passe, un attaquant non authentifié peut créer à distance de nouveaux comptes utilisateurs sur votre site. Cela ne nécessite aucune interaction de l'utilisateur et peut être réalisé via une connexion réseau standard.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Simple JWT Login WordPress plugin before 3.3.0 can be used to create new WordPress user accounts with a randomly generated password. The password is generated using the str_shuffle PHP function that "does not generate cryptographically secure values, and should not be used for cryptographic purposes" according to PHP's documentation.