CVE-2026-104797

WordPress üçün olan Advanced Form Integration — Connect Forms to 300+ Apps plagini 2.9.0 daxil olmaqla bütün versiyalarda Təsdiqlənməmiş Şifrə Dəyişikliyi vasitəsilə Autentifikasiyadan Yan Keçmə zəifliyinə malikdir. Ultimate Member "Update Profile Field" hərəkətini idarə edən `adfoin_ultimatememberac_send_data` funksiyası, hədəf WordPress istifadəçisini hücumçunun təqdim etdiyi e-poçt ünvanı ilə müəyyən edir və hücumçu tərəfindən idarə olunan sahə açarı (field key) və dəyərini birbaşa `account` kontekstində `UM()->user()->update_profile()` funksiyasına ötürür. Bu proses Ultimate Member-in qadağan olunmuş açarların yoxlanılması mexanizmini aşır və göndərən şəxsin kimliyinin təsdiqi, mülkiyyət yoxlaması, səlahiyyət yoxlaması, cari şifrənin yenidən autentifikasiyası və ya `user_pass` kimi həssas açarlara məhdudiyyət tətbiq edilmədən yerinə yetirilir. Bu, autentifikasiya olunmamış hücumçulara hədəf e-poçt və sahə açarı kimi `user_pass` təqdim edərək ictimai Contact Form 7 formasını göndərməklə, Administrator hesabları da daxil olmaqla istənilən WordPress istifadəçi hesabının şifrəsini dəyişməyə və saytı tamamilə ələ keçirməyə imkan verir. Zəifliyin istismarı üçün administratorun daha öncə ictimai forma girişlərindən hədəf e-poçtu, sahə açarını və dəyəri Ultimate Member Update Profile Field hərəkətinə yönləndirən Contact Form 7 inteqrasiyasını konfiqurasiya etmiş olması lazımdır ki, bu da plaqinin öz interfeysində bu hərəkət növü üçün tövsiyə olunan iş axınıdır.