CVE-2023-2437
UserPro <= 5.1.1 - Bypass de Autenticação para Administrador
- Publicado
- 22 de nov. de 2023
- Atualizado
- 8 de abr. de 2026
- Atribuindo CNA
- Wordfence
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 93,8%
- Data do modelo
- 13 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin UserPro para WordPress é vulnerável a bypass de autenticação nas versões até 5.1.1, inclusive. Isso se deve à verificação insuficiente do usuário fornecido durante um login via Facebook através do plugin. Isso torna possível que atacantes não autenticados façam login como qualquer usuário existente no site, como um administrador, se tiverem acesso ao e-mail. Um atacante pode se valer das CVE-2023-2448 e CVE-2023-2446 para obter o endereço de e-mail do usuário e explorar esta vulnerabilidade com sucesso.
Fontes
http/cves/2023/CVE-2023-2437.yaml
Nuclei TemplatesCondições declaradas
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)
- CVE-2023-2437Exploit
Ferramenta de exploit para CVE-2023-2437 visando bypass de autenticação no UserPro <= 5.1.1, permitindo que atacantes obtenham acesso de administrador e criem novos administradores.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.