Vulnerabilidad en User Activity Log de solwininfotech (CVE-2025-11877)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
07/01/2026
Última modificación:
15/04/2026
Descripción
El plugin User Activity Log es vulnerable a una actualización limitada de opciones en versiones hasta la 2.2, inclusive. El manejador de inicios de sesión fallidos 'ual_shook_wp_login_failed' carece de una verificación de capacidad y escribe los nombres de usuario fallidos directamente en las llamadas a update_option(). Esto permite a atacantes no autenticados empujar opciones de sitio seleccionadas de 0 a un valor distinto de cero, permitiéndoles reabrir el registro o corromper opciones como 'wp_user_roles', rompiendo el acceso a wp-admin.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA