CVE-2026-16149

WordPress için Security Hardener eklentisi, 2.4.4 sürümü dahil tüm önceki sürümlerde Eksik Yetkilendirme zafiyetine sahiptir. Zafiyet, varsayılan olarak etkin olan kullanıcı numaralandırma korumasının, secure_user_endpoints() aracılığıyla rest_endpoints filtresini kancalaması ve hem /wp/v2/users hem de /wp/v2/users/(?P<id>[\d]+) rotalarındaki — POST, PUT, PATCH ve DELETE işleyicileri dahil — her kayıtlı işleyicinin permission_callback fonksiyonunu, yalnızca is_user_logged_in() döndüren yalın bir kapatma (closure) ile üzerine yazmasından kaynaklanmaktadır; bu durum, WP_REST_Users_Controller tarafından normalde uygulanan create_users, promote_user, edit_users ve delete_users gibi WordPress Core'un orijinal yetenek kontrollerini tamamen ortadan kaldırmaktadır. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, /wp/v2/users adresine yönetici rolüyle POST isteği göndererek yeni Yönetici hesapları oluşturmasını veya /wp/v2/users/<id> adresine PUT/POST isteği göndererek mevcut bir Yöneticinin şifresini sıfırlamasını mümkün kılmaktadır. block_user_enum seçeneği varsayılan olarak etkin olduğu için herhangi bir özel eklenti yapılandırmasına gerek yoktur; üzerine yazma işlemi, eklenti yüklendiği anda her istekte aktif hale gelmektedir.