CVE-2026-14861
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka User Verification by PickPlugins dla WordPressa do wersji 2.0.47 nie weryfikuje, czy żądanie ponownego wysłania e-maila weryfikacyjnego jest autoryzowane do działania na podanym użytkowniku, ani nie wiąże tokena ochronnego z tym użytkownikiem, co pozwala nieuwierzytelnionym atakującym na zresetowanie statusu weryfikacji e-mail dowolnych użytkowników i zablokowanie ich, w tym administratorów, z ich kont.
Ocena ryzyka
Atakujący mogą zablokować konta administratorów, co prowadzi do utraty dostępu do witryny i potencjalnego przejęcia kontroli.
Rekomendacja
Zaktualizuj wtyczkę User Verification by PickPlugins do wersji 2.0.48 lub nowszej, jeśli dostępna, lub zastosuj poprawkę zabezpieczającą.
Oryginalny opis (angielski, źródło NVD)
The User Verification by PickPlugins WordPress plugin through 2.0.47 does not verify that a request to resend a verification email is authorized to act on the supplied user, nor bind the protecting token to that user, allowing unauthenticated attackers to reset arbitrary users' email-verification status and lock them, including administrators, out of their accounts.