CVE-2026-15038
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka InfiniteWP Client dla WordPressa przed wersją 1.13.6 nieprawidłowo weryfikuje stan połączenia z witryną oraz autentyczność żądań do zdalnego punktu zarządzania w instalacjach WordPress Multisite. Umożliwia to nieuwierzytelnionym atakującym powiązanie własnego klucza, przejęcie sesji administratora i przejęcie całej sieci, prowadząc do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko jest krytyczne: atakujący może uzyskać pełną kontrolę nad całą siecią Multisite, co może prowadzić do całkowitej kompromitacji wszystkich witryn i danych w niej zawartych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki InfiniteWP Client do wersji 1.13.6 lub nowszej, która zawiera poprawkę zabezpieczającą przed tym atakiem.
Oryginalny opis (angielski, źródło NVD)
The InfiniteWP Client WordPress plugin before 1.13.6 does not properly verify the site-connection state and the authenticity of requests to its remote-management endpoint on WordPress Multisite installations, allowing unauthenticated attackers to bind their own key, hijack an administrator session, and take over the entire network, leading to remote code execution.