CVE-2026-119040: fallo de gravedad alta en Defender Security
Defender Security < 6.4.1 - 2FA Bypass via Unthrottled OTP Verification
Publicada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
18Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 7.5
The Defender Security WordPress plugin before 6.4.1 does not limit the number of failed two-factor authentication attempts in its default configuration, allowing an attacker who already knows a victim's password to brute-force the one-time code and defeat the second authentication factor.
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Unknown · Defender SecurityCVEs relacionadas — Defender Security
En el mismo producto, de las más peligrosas a las menos.
CVE-2023-5089MEDIUMDefender Security < 4.1.0 - Protection Bypass (Hidden Login Page)EPSS 2.5%CVE-2026-19225MEDIUMDefender Security < 6.2.0 - Admin+ Network-Wide RCE via Hub Connector on MultisiteEPSS 0.5%CVE-2026-119039MEDIUMDefender Security 4.9.0 - 6.4.0 - Unauthenticated IP Address Spoofing via Smart IP DetectionEPSS —