CVE-2026-18052

WysokieCVSS 8.1

Opublikowano: 22/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 22/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka ManageWP Worker dla WordPressa przed wersją 4.9.37 nie wiąże konta logującego się z podpisem autoryzującym logowanie, ani nie zapobiega ponownemu użyciu już wykorzystanego linku logowania. Atakujący, którzy zdobędą taki link, mogą uzyskać sesję jako dowolny użytkownik witryny, w tym administrator.

Ocena ryzyka

Przejęcie linku logowania może prowadzić do pełnej kompromitacji konta administratora i przejęcia witryny. Ryzyko wzrasta, jeśli linki są przechwytywane lub wyciekają.

Rekomendacja

Zaktualizuj wtyczkę ManageWP Worker do wersji 4.9.37 lub nowszej. Upewnij się, że linki logowania są bezpiecznie przechowywane i nie są udostępniane.

Inne podatności w ManageWP Worker

CVE-2026-39463Wysokie
W wersjach ManageWP Worker <= 4.9.31 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu w kontekście użytkownika.

Oryginalny opis (angielski, źródło NVD)

The ManageWP Worker WordPress plugin before 4.9.37 does not bind the account being logged in to the signature which authorises the login, nor prevent an already used login link from being replayed, allowing attackers who obtain such a link to gain a session as any user on the site, including an administrator.