CVE-2026-16149

WordPress üçün Security Hardener plagini 2.4.4 versiyası daxil olmaqla bütün versiyalarda Avtorizasiyanın Olmaması zəifliyinə məruzdur. Zəiflik ondan qaynaqlanır ki, plagiinin standart olaraq aktiv olan istifadəçi siyahısının çıxarılmasının qarşısını alma (user-enumeration protection) funksiyası `secure_user_endpoints()` vasitəsilə `rest_endpoints` filtrinə qoşulur və həm `/wp/v2/users`, həm də `/wp/v2/users/(?P<id>[\d]+)` marşrutlarında — o cümlədən POST, PUT, PATCH və DELETE idarəedicilərində — hər bir qeydiyyatdan keçmiş idarəedicinin `permission_callback` funksiyasını yalnız `is_user_logged_in()` qaytaran sadə bir closure ilə əvəz edir. Bu proses, `WP_REST_Users_Controller` tərəfindən normalda tətbiq edilən `create_users`, `promote_user`, `edit_users` və `delete_users` kimi WordPress Core-un orijinal səlahiyyət yoxlamalarını tamamilə ləğv edir. Bu, Abunəçi (Subscriber) və daha yüksək səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara `/wp/v2/users` ünvanına administrator rolu ilə POST sorğusu göndərərək yeni Administrator hesabları yaratmağa və ya `/wp/v2/users/<id>` ünvanına PUT/POST sorğusu göndərərək mövcud Administratorun şifrəsini sıfırlamağa imkan verir. `block_user_enum` seçimi standart olaraq aktiv olduğu üçün heç bir xüsusi plagin konfiqurasiyası tələb olunmur — plagin quraşdırılan kimi bu əvəzləmə hər bir sorğu zamanı aktiv olur.