CVE-2026-114443

WysokieCVSS 7.5

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Security Plugin, Firewall & Malware Scanner with Auto Removal przed wersją 2.191 nie weryfikuje hasła konta przed zaakceptowaniem kodu dwuskładnikowego z aplikacji authenticator przy logowaniu. Pozwala to każdej osobie posiadającej aktualny kod authenticator użytkownika na zalogowanie się jako ten użytkownik, w tym administrator, bez znajomości hasła.

Ocena ryzyka

Posiadacz przechwyconego lub wyciekłego kodu 2FA może zalogować się jako administrator bez hasła, co prowadzi do pełnego przejęcia konta i witryny.

Rekomendacja

Zaktualizuj wtyczkę do wersji 2.191 lub nowszej. Rozważ reset kodów 2FA dla kont administracyjnych po aktualizacji.

Inne podatności w Security Plugin, Firewall & Malware Scanner with Auto Removal WordPress plugin

CVE-2026-114444Średnie
Wtyczka WordPress Security Plugin, Firewall & Malware Scanner with Auto Removal przed wersją 2.191 nie ogranicza przeglądarki plików File System Watcher do Super Adminów ani do plików, które legalnie śledzi. Pozwala to administratorowi niebędącemu Super Adminem, w tym administratorowi podstrony w multisite WordPress, na odczyt zawartości wrażliwych śledzonych plików, takich jak główny plik konfiguracyjny, i ujawnienie kluczy uwierzytelniania, soli oraz, w standardowej instalacji, danych dostępowych do bazy danych.

Oryginalny opis (angielski, źródło NVD)

The Security Plugin, Firewall & Malware Scanner with Auto Removal WordPress plugin before 2.191 does not verify the account password before accepting an authenticator-app two-factor code at login, allowing anyone who holds a user's current authenticator code to log in as that user, including an administrator, without the password.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS