CVE-2026-103646

Ultimate Multisite WordPress eklentisinin 2.17.0 öncesindeki sürümleri, oturum açmamış bir ödeme işleminin gönderilen e-posta adresiyle eşleşen mevcut bir WordPress hesabına bağlanması ve bu hesapla giriş yapılması öncesinde kimlik doğrulaması gerektirmemektedir; ayrıca yinelenen hesap kontrolü, söz konusu adresi müşteri oluşturmak için kullanılan aramadan farklı şekilde normalize etmektedir. Bu durum, kimliği doğrulanmamış bir saldırganın, e-posta adresini bildiği Network Super Admin dahil herhangi bir mevcut kullanıcı olarak giriş yapmasına olanak tanır. Bu atlatma durumu, CVE-2026-75957 için yayınlanan 2.15.1 düzeltmesi ile giderilmemiştir ve bu düzeltmenin kapsaması beklenen 2.16.1 dahil tüm önceki sürümlerde istismar edilebilir durumdadır. İstismar işlemi, şifre alanı olmadan yapılandırılmış bir ödeme formu (otomatik oluşturulan şifre) ve Ultimate Multisite WordPress eklentisinin 2.17.0 öncesi sürümlerinde mevcut bir müşteri kaydı bulunmayan hedef bir hesap gerektirir.