CVE-2020-35590
El archivo LimitLoginAttempts.php en el plugin limit-login-Attempts-reloaded versiones anteriores a 2.17.4 para WordPress, permite una omisión de los...
- Publicado
- 21 dic 2020
- Actualizado
- 4 ago 2024
- Asignación de CNA
- mitre
- Evidencia observada
- 17 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 90,8 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El archivo LimitLoginAttempts.php en el plugin limit-login-Attempts-reloaded versiones anteriores a 2.17.4 para WordPress, permite una omisión de los límites de velocidad (por dirección IP) porque el encabezado X-Fordered-For puede ser falsificado. Cuando el plugin está configurado para aceptar un encabezado arbitrario para la dirección IP de origen del cliente, un usuario malicioso no está limitado a realizar un ataque de fuerza bruta, porque el encabezado IP del cliente acepta cualquier cadena arbitraria. Al aleatorizar la entrada del encabezado, el recuento de inicios de sesión nunca alcanza el máximo de reintentos permitidos
Fuentes
1- CVE-2020-35590Exploit
Herramienta de fuerza bruta para el plugin de WordPress Limit Login Attempts Reloaded >=2.13.0 - Bypass del límite de inicio de sesión (CVE-2020-35590)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.