CVE-2026-80099

Bir neçə Newfold plagini Autentifikasiyadan Yan Keçmə zəifliyinə malikdir. Zəiflik plaginlərin wp-module-data modulunu daxil etməsi səbəbindən yaranır. Modulda, `rest_authentication_errors` filtrində qeydiyyatdan keçmiş və buna görə də hər bir autentifikasiya olunmamış REST API sorğusu üçün qiymətləndirilən `authenticate()` metodu, `HiiveConnection::get_auth_token()` funksiyası `false` qaytardıqda degenerasiyaya uğrayan HMAC tipli Bearer token müqayisəsi həyata keçirir: PHP `strrev(false)` ifadəsini `strrev('')` şəklində məcburi çevirməklə gizli duzu (salt) hamıya məlum olan `hash('sha256', '') = e3b0c44...` sabitinə endirir, bu zaman bütün digər heş girişləri (HTTP metodu, sorğu URL-i, xammal sorğu gövdəsi və `X-Timestamp` başlığı) tamamilə hücum edənin nəzarətində qalır. Bu, autentifikasiya olunmamış hücum edənlərə tamamilə oflayn şəkildə etibarlı Bearer tokeni hesablamağa, token bərabərliyi yoxlamasından keçməyə və `get_users(['role' => 'administrator'])` tərəfindən qaytarılan ilk administrator üçün `wp_set_current_user()` funksiyasının çağırılmasına şərait yaradır ki, bu da tam administrator səviyyəsində giriş imkanı verir və yeni administrator hesablarının yaradılması və saytın tam ələ keçirilməsi kimi ixtiyari REST API əməliyyatlarını mümkün edir. Zəifliyə məruz qalan versiyalar bunlardır: WP Plugin Crazy Domains (<= 2.5.2), WP Plugin Web (<= 2.3.4), WP Plugin Hostgator (<= 3.1.0), WP Plugin Bluehost (<= 4.17.1). Təsirə məruz qalan modul 2.9.4 versiyası daxil olmaqla, həmin versiyaya qədər olan versiyalarda zəifdir.