CVE-2026-77194
Təsvir
WordPress üçün Simple Membership plagini 4.8.0 versiyadaxil və ondan əvvəlki versiyalarda, Administrator hesabının ələ keçirilməsinə səbəb olan Autentifikasiyadan yan keçmə zəifliyinə malikdir. Bu, WordPress Multisite mühitlərində ictimai qeydiyyat axını zamanı şəxsiyyətin düzgün yoxlanılmaması ilə bağlıdır; burada plagin yeni Simple Membership qeydlərini şifrə təsdiqi və ya sahiblik sübutu tələb etmədən, yalnız istifadəçi adı və e-poçtun uyğunluğuna əsasən mövcud qlobal WordPress istifadəçiləri ilə bağlayır və alt saytlardakı Administrator rollarını düzgün müəyyən edə bilmir. Bu, autentifikasiya olunmamış hücumçulara ictimai qeydiyyatın aktiv olduğu bir saytda qurbanın məlumatları ilə Simple Membership hesabı yaratmaqla və sonra profil redaktə funksionallığı vasitəsilə qurbanın qlobal WordPress şifrəsini yeniləməklə Multisite şəbəkəsindəki alt saytlarda Administrator hesablarını ələ keçirməyə imkan verir. Zəiflik 4.8.1 versiyasında qismən aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wpinsider-1 Simple Membership | v ≤ 4.8.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.