CVE-2026-104732

WordPress için geliştirilen Advanced IP Blocker eklentisinin 8.13.13 sürümü dahil tüm önceki sürümleri Kimlik Doğrulama Atlatma zafiyetine sahiptir. Zafiyet, `handle_login_action()` fonksiyonunun, POST edilen `user_id` için adım-2 TOTP gönderimini işlemeden önce; geçici veri (transient), oturum belirteci veya benzeri bir yöntemle istek sahibinin adım-1 parola kimlik doğrulamasını tamamladığına dair herhangi bir sunucu tarafı kontrolü yapmamasından kaynaklanmaktadır. Buna ek olarak, fonksiyondaki bir hata dalı koşulsuz olarak yeni bir `advaipbl-2fa-interim-{user_id}` nonce değeri oluşturmakta ve bunu bir `Location` başlığı ile kimliği doğrulanmamış herhangi bir çağırıcıya iletmektedir; ardından `display_2fa_login_form_step_2()` fonksiyonu HTML içinde geçerli bir `advaipbl-2fa-verify-{user_id}` nonce değeri oluşturmaktadır. Her iki nonce da sabit bir `uid=0` boş oturum bağlamına göre hesaplandığından saldırgan tarafından sonraki isteklerde tamamen yeniden kullanılabilmektedir. Bu durum, kimliği doğrulanmamış saldırganların, hız sınırlaması olmayan 6 haneli bir TOTP kodunu kaba kuvvet yöntemiyle deneyerek (deneme sayacı yok, hesap kilitleme yok ve `wp_login_failed` tetiklenmiyor) ve hesap parolasını hiç sağlamadan `wp_set_auth_cookie` aracılığıyla tam yetkili bir oturum çerezi alarak, yöneticiler dahil 2FA özelliği etkinleştirilmiş herhangi bir hesap için kimlik doğrulamasını tamamen atlatmalarına ve sitenin tam kontrolünü ele geçirmelerine olanak tanımaktadır. İstismar için yalnızca eklentinin 2FA özelliği etkin olan bir hesaba ait bilinen bir `user_id` gereklidir.