CVE-2026-80099

Çeşitli Newfold eklentileri Kimlik Doğrulama Atlatma (Authentication Bypass) zafiyetine sahiptir. Zafiyet, eklentilerin wp-module-data modülünü paketlemesinden kaynaklanmaktadır. Modüldeki, `rest_authentication_errors` filtresine kaydedilen ve bu nedenle kimliği doğrulanmamış her REST API isteği için değerlendirilen `authenticate()` yöntemi; `HiiveConnection::get_auth_token()` fonksiyonu `false` döndürdüğünde bozulan HMAC tarzı bir Bearer token karşılaştırması gerçekleştirir: PHP, `strrev(false)` ifadesini `strrev('')` şeklinde zorlar ve gizli tuz değerini herkesçe bilinen `hash('sha256', '') = e3b0c44...` sabitine indirgerken, geri kalan tüm hash girdileri (HTTP yöntemi, istek URL'si, ham istek gövdesi ve `X-Timestamp` başlığı) tamamen saldırgan kontrolünde kalır. Bu durum, kimliği doğrulanmamış saldırganların geçerli bir Bearer token'ını tamamen çevrimdışı olarak hesaplamasını, token eşitlik kontrolünü geçmesini ve `get_users(['role' => 'administrator'])` tarafından döndürülen ilk yöneticiye karşı `wp_set_current_user()` fonksiyonunun çağrılmasını mümkün kılarak tam yönetici düzeyinde erişim sağlar; böylece yeni yönetici hesapları oluşturmak gibi keyfi REST API işlemlerinin yürütülmesine ve sitenin tamamen ele geçirilmesine olanak tanır. Etkilenen sürümler WP Plugin Crazy Domains (<= 2.5.2), WP Plugin Web (<= 2.3.4), WP Plugin Hostgator (<= 3.1.0), WP Plugin Bluehost (<= 4.17.1)'dir. İlgili modül, 2.9.4 sürümü dahil olmak üzere önceki sürümlerde zafiyet barındırmaktadır.