CVE-2026-119980
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka UsersWP dla WordPressa jest podatna na nieautoryzowany dostęp do konta poprzez użycie przewidywalnego hasła w wersjach do 1.2.78 włącznie. Podatność polega na tym, że get_dummy_user_passowrd() wyprowadza wspólne hasło dla wszystkich 25 wbudowanych kont dummy jako pierwsze 15 znaków z substr(hash('SHA256', AUTH_KEY . site_url()), 0, 25), podczas gdy pełna 25-znakowa wartość tego samego hasha jest jednocześnie osadzona w ukrytym polu 'uwp_register_hash' renderowanym w każdej odpowiedzi formularza rejestracji — dostępnym bez uwierzytelnienia zarówno przez publiczną stronę /register/, jak i handler AJAX wp_ajax_nopriv_uwp_ajax_register_form, nawet gdy rejestracja użytkowników jest wyłączona. Umożliwia to nieuwierzytelnionym atakującym odzyskanie hasła dummy bezpośrednio z jednego żądania HTTP i użycie go do uwierzytelnienia jako dowolne z 25 wbudowanych kont dummy (np. antawn, chynna, kiki) przez wp-login.php, potencjalnie prowadząc do eskalacji uprawnień, jeśli któreś konto dummy ma podwyższoną rolę. Wykorzystanie wymaga, aby administrator wcześniej utworzył konta dummy przez stronę Tools wtyczki.
Ocena ryzyka
Możliwe przejęcie kont dummy, a w przypadku podwyższonych uprawnień — eskalacja uprawnień i dostęp do funkcji administracyjnych. Ryzyko dotyczy witryn z wtyczką UsersWP, w których utworzono konta dummy.
Rekomendacja
Zaktualizuj wtyczkę UsersWP do wersji nowszej niż 1.2.78. Jeśli aktualizacja nie jest możliwa, usuń wszystkie konta dummy utworzone przez wtyczkę.
Inne podatności w UsersWP
Zobacz wszystkie- CVE-2026-94641Wysokie
Wtyczka UsersWP dla WordPressa (do wersji 1.2.73) jest podatna na Reflected XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie odbity i wykonany w przeglądarce użytkownika.
- CVE-2026-103086Średnie
Wtyczka UsersWP dla WordPressa do wersji 1.2.74 zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
- CVE-2026-86814Wysokie
Wtyczka UsersWP dla WordPressa przed wersją 1.5.10 nie weryfikuje, czy dostawca logowania społecznościowego potwierdził posiadanie adresu e-mail przed użyciem go do rozpoznania istniejącego konta, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administrator, jeśli mogą potwierdzić jego adres e-mail przez własne konto u dostawcy.
- CVE-2026-19991Wysokie
Wtyczka UsersWP dla WordPressa (wersje do 1.2.70 włącznie) jest podatna na usuwanie dowolnych plików poprzez handler AJAX upload_file_remove(). Uwierzytelniony atakujący z poziomem Subscriber lub wyższym może usunąć dowolne pliki na serwerze, w tym wp-config.
- CVE-2026-18501Średnie
Wtyczka UsersWP – Front-end login form, User Registration, User Profile & Members Directory dla WordPressa w wersjach do 1.2.69 jest podatna na Stored Cross-Site Scripting (XSS) przez podstawianie zmiennych w widżecie Badge. Podatność wynika z niedostatecznej sanitizacji wejścia i braku escape'owania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-13492Wysokie
Wtyczka UsersWP dla WordPressa do wersji 1.2.65 włącznie zawiera podatność na arbitralne usuwanie plików. Wynika to z niewystarczającej walidacji pól plików w funkcji UsersWP_Validation::validate_fields() oraz braku kanonizacji ścieżki w handlerze AJAX UsersWP_Forms::upload_file_remove(), co pozwala na usunięcie dowolnych plików na serwerze.
- CVE-2025-67593Średnie
Wtyczka UsersWP (wersje do 1.2.48 włącznie) zawiera podatność na Cross-Site Request Forgery (CSRF). Umożliwia ona atakującemu wymuszenie wykonania niepożądanych działań przez administratora.
- CVE-2025-66072Średnie
Wtyczka UsersWP (userswp) w wersjach do 1.2.47 włącznie ma brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WordPress is vulnerable to unauthorized account access via Use of Predictable Password in all versions up to, and including, 1.2.78 The vulnerability exists because `get_dummy_user_passowrd()` derives the shared password for all 25 built-in dummy user accounts as the first 15 characters of `substr(hash('SHA256', AUTH_KEY . site_url()), 0, 25)`, while the full 25-character value of that same hash is simultaneously embedded in the hidden `uwp_register_hash` field rendered on every registration form response — reachable without authentication via both the public `/register/` page and the `wp_ajax_nopriv_uwp_ajax_register_form` AJAX handler, even when user registration is disabled. This makes it possible for unauthenticated attackers to recover the dummy user password directly from a single HTTP request and use it to authenticate as any of the 25 built-in dummy accounts (such as antawn, chynna, or kiki) through `wp-login.php`, potentially achieving privilege escalation if any dummy account holds an elevated role. Exploitation requires that an administrator has previously created dummy users via the plugin's Tools page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS