CVE-2026-103646

KrytyczneCVSS 9.8

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka Ultimate Multisite dla WordPressa przed wersją 2.17.0 nie wymaga uwierzytelnienia, zanim wylogowane zamówienie zostanie powiązane z istniejącym kontem WordPress pasującym do podanego adresu e-mail i zalogowane jako to konto, a jej sprawdzanie duplikatów kont normalizuje ten adres inaczej niż wyszukiwanie użyte do utworzenia klienta, więc nieuwierzytelniony atakujący może zalogować się jako dowolny istniejący użytkownik, w tym Super Admin sieci, którego adres e-mail zna. Ten bypass nie jest rozwiązany przez poprawkę 2.15.1 dla CVE-2026-75957 i pozostaje wykorzystywalny we wszystkich wersjach do 2.16.1 włącznie, które poprawka miała obejmować. Wykorzystanie wymaga formularza zamówienia skonfigurowanego bez pola hasła (automatycznie generowane hasło) i konta docelowego, które nie ma istniejącego rekordu klienta w wtyczce Ultimate Multisite przed wersją 2.17.0.

Ocena ryzyka

Atakujący może zalogować się jako dowolny użytkownik, w tym administrator sieci, co może prowadzić do pełnej kompromitacji witryny i danych użytkowników.

Rekomendacja

Zaktualizuj wtyczkę Ultimate Multisite do wersji 2.17.0 lub nowszej, która rozwiązuje ten problem. Dodatkowo upewnij się, że formularze zamówień wymagają hasła lub stosują inne mechanizmy uwierzytelniania.

Inne podatności w Ultimate Multisite

CVE-2026-75957Krytyczne
Wtyczka Ultimate Multisite – WordPress Multisite SaaS & WaaS Platform dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 2.15.0 włącznie, poprzez parametr `checkout_form` funkcji `login_customer_after_checkout`. Publicznie dostępny handler AJAX `wu_ajax_nopriv_wu_validate_form` akceptuje swobodnie dostępny nonce checkout, a parametr `checkout_form=wu-finish-checkout` powoduje, że `get_validation_rules()` odrzuca wszystkie reguły walidacji, podczas gdy `finish_checkout_form_fields()` zwraca pustą listę kroków — wymuszając `is_last_step()` na true i kierując żądanie bezpośrednio do pełnego przetwarzania zamówienia — po czym `maybe_create_customer()` rozwiązuje podany przez atakującego `email_address` na istniejący identyfikator użytkownika WordPressa bez uwierzytelnienia lub weryfikacji własności, a `login_customer_after_checkout()` wywołuje `wp_set_auth_cookie()` dla tego identyfikatora użytkownika przez bezhasłową ścieżkę kodu. To umożliwia nieuwierzytelnionym atakującym zalogowanie się jako dowolny istniejący użytkownik WordPressa — w tym Super Admin sieci — po prostu znając ich adres e-mail. Eksploatacja wymaga, aby docelowe konto użytkownika nie miało wcześniej istniejącego rekordu klienta Ultimate Multisite; konta takie jak Super Admin sieci na świeżej instalacji Multisite lub dowolny administrator lub edytor dodany przed skonfigurowaniem Ultimate Multisite spełniają ten warunek i są podatne.

Oryginalny opis (angielski, źródło NVD)

The Ultimate Multisite WordPress plugin before 2.17.0 does not require authentication before a logged-out checkout is linked to, and logged in as, an existing WordPress account matching the submitted email address, and its duplicate-account check normalizes that address differently from the lookup used to create the customer, so an unauthenticated attacker can log in as any existing user, including a Network Super Admin, whose email address they know. This bypass is not addressed by the 2.15.1 fix for CVE-2026-75957 and remains exploitable in all versions up to and including 2.16.1, the releases that fix was expected to cover. Exploitation requires a checkout form configured without a password field (auto-generated password) and a target account that has no existing customer record in the Ultimate Multisite WordPress plugin before 2.17.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS