CVE-2026-104745

WordPress için Customer Email Verification for WooCommerce eklentisi, 3.3.0 dahil önceki sürümlerde `alg_wc_ev_verify_email` parametresi üzerinden Yetki Yükseltme zafiyetine sahiptir. Zafiyet, eklentinin 'Encoding method' ayarı 'hashids' olarak belirlendiğinde `alg_wc_ev_generate_user_code()` fonksiyonunun kullanıcı başına aktivasyon sırrını `wp_rand(100)` kullanarak oluşturmasından kaynaklanmaktadır; bu durum yalnızca yaklaşık 101 olası değer (~7 bit entropi) üretmektedir. Ortaya çıkan token, kriptografik bir MAC içermeyen geri döndürülebilir bir Hashids kodlamasıdır ve `init` kancasına `PHP_INT_MAX` ile bağlanmış olan, nonce kontrolü ve hız sınırlaması bulunmayan kimlik doğrulanmamış `verify()` işleyicisi, saldırgan tarafından kontrol edilen `?alg_wc_ev_verify_email=` GET parametresini doğrudan kabul edip işlem yapmaktadır. Bu durum, kimlik doğrulaması yapmamış saldırganların, sahte bir doğrulama URL'si aracılığıyla son derece küçük olan aktivasyon kodu alanını kaba kuvvet yöntemiyle deneyerek yönetici düzeyindeki hesaplar da dahil olmak üzere herhangi bir doğrulanmamış WordPress hesabında oturum açmasını mümkün kılmaktadır. İstismar için 'Encoding method' ayarının 'hashids' (varsayılan değil) olarak değiştirilmiş olması, saldırganın Hashids tuzunu (ilk başlatmada ayarlanan varsayılan `md5(time())` değeri) elde etmesi veya kaba kuvvetle bulması ve hedef hesabın e-posta adresinin doğrulanmamış kalmış olması gerekmektedir.