FICHE CVE

CVE-2025-4607

Publiée le 2025-05-31 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les sites WordPress utilisant l'extension PSW Front-end Login & Registration (version 1.12 et antérieures) sont vulnérables à une prise de contrôle totale du site. Un attaquant non authentifié peut exploiter la faiblesse du mécanisme de réinitialisation du mot de passe pour deviner le mot de passe à usage unique de n'importe quel compte, y compris ceux des administrateurs. Cette action peut être réalisée à distance via le réseau, sans aucune interaction de la part de l'utilisateur.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

CWE-330

Publiée2025-05-31

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The PSW Front-end Login & Registration plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 1.12 via the customer_registration() function. This is due to the use of a weak, low-entropy OTP mechanism in the forget() function. This makes it possible for unauthenticated attackers to initiate a password reset for any user, including administrators, and elevate their privileges for full site takeover.