CVE-2026-14545
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka TrueBooker dla WordPressa przed wersją 1.2.4 nie weryfikuje własności konta podczas resetowania hasła przez jeden z front-endowych handlerów kont. Umożliwia to nieuwierzytelnionym atakującym ustawienie dowolnego hasła na dowolnym koncie, w tym administratora, i przejęcie strony.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie strony przez nieuwierzytelnionego atakującego, który może ustawić własne hasło na koncie administratora.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę TrueBooker do wersji 1.2.4 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker WordPress plugin before 1.2.4 does not validate account ownership when resetting a user's password through one of its front-end account handlers, allowing unauthenticated attackers to set an arbitrary password on any account, including an administrator, and take over the site.