CVE-2026-10830
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka AllCoach dla WordPress przed wersją 1.0.2 nie weryfikuje, czy adres e-mail przesłany do publicznego punktu rejestracji konta nie jest już powiązany z istniejącym użytkownikiem przed nadpisaniem jego hasła. Umożliwia to nieuwierzytelnionym atakującym zresetowanie hasła dowolnego konta, w tym administratorów, i przejęcie strony.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne – nieuwierzytelniony atakujący może przejąć konto administratora i całą witrynę WordPress, co prowadzi do całkowitej utraty kontroli nad stroną i potencjalnego wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę AllCoach do wersji 1.0.2 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć wtyczkę do czasu jej wdrożenia.
Oryginalny opis (angielski, źródło NVD)
The AllCoach WordPress plugin before 1.0.2 does not verify that an email address submitted to a public account-registration endpoint is not already associated with an existing user before overwriting that user's password, allowing unauthenticated attackers to reset the password of arbitrary accounts, including administrators, and take over the site.