CVE-2026-104745

WordPress üçün Customer Email Verification for WooCommerce plagini 3.3.0 daxil olmaqla daha aşağı versiyalarda `alg_wc_ev_verify_email` parametri vasitəsilə imtiyazların yüksəldilməsi zəifliyinə malikdir. Zəiflik ondan qaynaqlanır ki, plagininin 'Encoding method' tənzimləməsi 'hashids' olaraq təyin edildikdə, `alg_wc_ev_generate_user_code()` funksiyası hər istifadəçi üçün aktivasiya sirrini `wp_rand(100)` istifadə edərək yaradır və bu, yalnız ~101 mümkün dəyər (~7 bit entropiya) istehsal edir; nəticədə alınan token kriptoqrafik MAC olmadan geri qaytarıla bilən Hashids kodlaşdırmasıdır və heç bir nonce yoxlaması və sürət məhdudiyyəti olmadan `PHP_INT_MAX` səviyyəsində `init` hadisəsinə bağlanmış autentifikasiya olunmamış `verify()` idarəedicisi hücumçu tərəfindən idarə olunan `?alg_wc_ev_verify_email=` GET parametrini birbaşa qəbul edir və emal edir. Bu, autentifikasiya olunmamış hücumçulara saxtalaşdırılmış təsdiq URL-i vasitəsilə çox kiçik olan aktivasiya kodu sahəsini brute-force üsulu ilə sındıraraq, administrator səviyyəli hesablar da daxil olmaqla, təsdiqlənməmiş istənilən WordPress hesabı kimi autentifikasiyadan keçməsinə imkan verir. Eksploytasiya üçün 'Encoding method' tənzimləməsinin 'hashids' (standart olmayan) olaraq dəyişdirilməsi, hücumçunun Hashids duzunu (salt) (hansı ki, ilk başladılma zamanı standart olaraq `md5(time())` dəyəri təyin edilir) əldə etməsi və ya brute-force ilə tapması və hədəf hesabın e-poçt ünvanının təsdiqlənməmiş qalması tələb olunur.