CVE-2026-103646
Təsvir
Ultimate Multisite WordPress plagininin 2.17.0 versiyasından əvvəlki versiyaları, giriş etməmiş istifadəçinin sifariş prosesi təqdim edilmiş e-poçt ünvanı ilə uyğunlaşan mövcud WordPress hesabına bağlanmazdan və həmin hesabla daxil olmazdan əvvəl autentifikasiya tələb etmir. Eyni zamanda, dublikat hesab yoxlaması həmin ünvanı müştərini yaratmaq üçün istifadə edilən axtarışdan fərqli şəkildə normallaşdırır, buna görə də autentifikasiya olunmamış hücumçu e-poçt ünvanını bildiyi hər hansı mövcud istifadəçi, o cümlədən Network Super Admin kimi daxil ola bilər. Bu yan keçmə mexanizmi CVE-2026-75957 üçün tətbiq edilən 2.15.1 düzəlişi ilə aradan qaldırılmayıb və həmin düzəlişin əhatə etməsi gözlənilən 2.16.1 daxil olmaqla bütün versiyalarda istismar edilə bilir. İstismarı həyata keçirmək üçün parol sahəsi olmadan konfiqurasiya edilmiş sifariş forması (avtomatik yaradılan parol) və Ultimate Multisite WordPress plagininin 2.17.0 versiyasından əvvəlki versiyalarında mövcud müştəri qeydi olmayan hədəf hesab tələb olunur.
Necə düzəltmək olar
- Ultimate Multisite2.17.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Ultimate Multisite | v < 2.17.0 | 2.17.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.