CVE-2026-15038
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Wtyczka InfiniteWP Client dla WordPressa przed wersją 1.13.6 nieprawidłowo weryfikuje stan połączenia z witryną oraz autentyczność żądań do zdalnego punktu zarządzania w instalacjach WordPress Multisite. Umożliwia to nieuwierzytelnionym atakującym powiązanie własnego klucza, przejęcie sesji administratora i przejęcie całej sieci, prowadząc do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko jest krytyczne: atakujący może uzyskać pełną kontrolę nad całą siecią Multisite, co może prowadzić do całkowitej kompromitacji wszystkich witryn i danych w niej zawartych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki InfiniteWP Client do wersji 1.13.6 lub nowszej, która zawiera poprawkę zabezpieczającą przed tym atakiem.
Inne podatności w InfiniteWP Client
Zobacz wszystkie- CVE-2026-17576Średnie
Wtyczka InfiniteWP Client dla WordPressa w wersjach do 1.13.9 włącznie jest podatna na wstrzyknięcie SQL poprzez akcję get_comments. Wynika to z niewystarczającego escapowania nazw kluczy tablicy dostarczonych w ciele żądania JSON przed użyciem w zapytaniu SQL, co umożliwia uwierzytelnionemu atakującemu z uprawnieniami administratora dołączenie dodatkowych zapytań SQL i wyodrębnienie poufnych informacji z bazy danych.
- CVE-2026-74011Wysokie
Podatność na wstrzykiwanie SQL w revmakx InfiniteWP Client umożliwia ślepe wstrzykiwanie SQL. Problem dotyczy wersji od n/a do 1.13.9.
Oryginalny opis (angielski, źródło NVD)
The InfiniteWP Client WordPress plugin before 1.13.6 does not properly verify the site-connection state and the authenticity of requests to its remote-management endpoint on WordPress Multisite installations, allowing unauthenticated attackers to bind their own key, hijack an administrator session, and take over the entire network, leading to remote code execution.