CVE-2026-109400

WordPress üçün nəzərdə tutulmuş InstaWP Connect – 1-click WP Staging & Migration plagini 0.1.4.1 versiyası daxil olmaqla bütün versiyalarda imtiyazların yüksəldilməsi zəifliyinə malikdir. Bu, plaginin öz admin səhifəsini `add_management_page()` vasitəsilə qeydiyyatdan keçirməsi və tələb olunan imkan kimi `InstaWP_Setting::get_allowed_role()` tərəfindən qaytarılan rol adından istifadə etməsi ilə bağlıdır — WordPress bunu həmin rola sahib olan hər hansı istifadəçi üçün real imkan uyğunluğu kimi qəbul edir. Eyni zamanda, `generate_section_field()` funksiyası `instawp_api_options` seçimindəki əsas API açarını heç bir əlavə `manage_options` və ya ekvivalent imkan yoxlaması olmadan, adi mətn formatlı HTML giriş sahəsinin `value` atributu kimi birbaşa render edir. Bu, Abunəçi (Subscriber) və daha yüksək səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçular üçün açıq şəkildə əsas API açarını oxumağı, onun SHA-256 törəmə sirrini plaginin REST API `validate_api_request()` funksiyası tərəfindən qəbul edilən bearer token kimi istifadə etməyi və administrator autentifikasiya kukisini təyin edən 30 saniyəlik birdəfəlik giriş URL-i yaratmaq üçün `POST /wp-json/instawp-connect/v2/auto-login` sorğusunu çağırmaqla imtiyazlarını tamamilə yüksəltməyi mümkün edir. Zəifliyin istismarı üçün saytın aktiv şəkildə InstaWP-yə qoşulmuş olması və administratorun hücumçunun rolunu plaginin Sync Tab Access siyahısına (`instawp_sync_tab_roles`) əlavə etmiş olması tələb olunur; xüsusilə qeyd etmək lazımdır ki, parametrlər tabının gizlədilməsi məntiqi tabı yalnız `administrator` siyahıda tamamilə olmadıqda gizlədir, bu isə o deməkdir ki, administratorun aşağı rol ilə birlikdə saxlandığı qarışıq konfiqurasiya hələ də aşağı imtiyazlı istifadəçiyə API açarı da daxil olmaqla tam parametrlər səhifəsini təqdim edir.