CVE-2026-83628

WordPress üçün olan Theme My Login plagini, Multisite quraşdırmalarında 7.1.15 daxil olmaqla daha aşağı versiyalarda Avtorizasiyanın Olmaması zəifliyinə malikdir. Bu, `tml_ms_signup_handler()` funksiyasının `gimmeanotherblog` budağının şəbəkənin `active_signup` qeydiyyat siyasətini tətbiq etməməsi ilə bağlıdır; bu budaq yalnız `is_user_logged_in()` funksiyasını yoxlayır, halbuki `validate-blog-signup` kimi digər budaqlar tam siyasət qapısını tətbiq edir. Bu, Abunəçi (Subscriber) və daha yüksək səviyyəli girişə malik autentifikasiya olunmuş hücumçulara Theme My Login-in qeydiyyat marşrutuna birbaşa `stage=gimmeanotherblog` POST sorğusu göndərməklə konfiqurasiya edilmiş qeydiyyat siyasətindən — hətta o, `none` və ya `user` olaraq təyin edildikdə belə — tamamilə yan keçməyə imkan verir. Nəticədə `wpmu_create_blog()` hücumçunun istifadəçi ID-si ilə icra edilir və bundan sonra WordPress nüvəsi `add_user_to_blog()` vasitəsilə yeni yaradılmış alt saytda Administrator rolunu təyin edir. İmtiyazların yüksəldilməsi yalnız yeni yaradılmış alt saytla məhdudlaşır; hücumçunun hesabı əsas saytda Abunəçi səviyyəli girişi saxlayır və Super Admin və ya `manage_network`, `manage_sites` kimi şəbəkə səviyyəli imkanlar əldə etmir.