CVE-2026-16256
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka POUCO Import Users do WordPressa do wersji 1.0.0 nie przeprowadza żadnych kontroli uprawnień ani nonce na akcjach AJAX dostępnych dla nieuwierzytelnionych użytkowników, które tworzą i aktualizują konta WordPress. Ponadto ufa wartości roli dostarczonej przez atakującego, co pozwala nieuwierzytelnionym atakującym utworzyć nowe konto administratora i przejąć witrynę.
Ocena ryzyka
Nieuwierzytelniony atakujący może łatwo utworzyć konto administratora i przejąć pełną kontrolę nad witryną.
Rekomendacja
Należy natychmiast wyłączyć lub usunąć wtyczkę POUCO Import Users do czasu wydania poprawki.
Oryginalny opis (angielski, źródło NVD)
The POUCO Import Users WordPress plugin through 1.0.0 does not perform any capability or nonce checks on AJAX actions available to unauthenticated users that create and update WordPress accounts, and it trusts an attacker-supplied role value, allowing unauthenticated attackers to create a new administrator account and take over the site.