★CVE-2025-13587: Bypass de autenticação de dois fatores no Two Factor via Email
Um problema em um plugin 2FA para WordPress em que o tratamento do token podia permitir pular o segundo fator por email.
CVE-2025-13587 é um bypass de autenticação de dois fatores no plugin Two Factor (2FA) Authentication via Email para WordPress.
O aviso público diz que o bug afetava as versões até 1.9.8 inclusive. O problema estava em SS88_2FAVE::wp_login(): o plugin só aplicava a exigência de 2FA quando o parâmetro HTTP GET token estava indefinido. Enviar qualquer valor para token, inclusive um valor vazio, podia impedir que a exigência do segundo fator fosse aplicada.
A Wordfence não pagou uma recompensa por esse achado.
O bug
Esse achado era mais sobre fluxo de controle do que criptografia. O token 2FA em si não precisava ser quebrado. O problema era que um parâmetro da requisição influenciava se o plugin aplicava ou não o segundo passo.
O vetor CVSS inclui PR:L, e isso importa: não era um bypass de login sem credenciais. O atacante ainda precisava de credenciais primárias válidas para a conta alvo. O bug enfraquecia o segundo fator, não a verificação da senha.
Correção
O changelog do plugin lista 1.9.9 como uma correção de segurança para CVE-2025-13587. Donos de sites devem atualizar para a versão 1.9.9 ou mais nova.