CVE-2026-18960
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Block User Account przed wersją 2.0.1 nie egzekwuje blokady konta na każdej ścieżce uwierzytelniania, co pozwala zablokowanemu użytkownikowi posiadającemu hasło aplikacyjne utworzone przed blokadą zachować pełny dostęp do odczytu i zapisu na swoim poziomie roli przez REST API.
Ocena ryzyka
Zablokowany użytkownik może nadal wykonywać operacje na koncie, co stanowi zagrożenie dla bezpieczeństwa i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 2.0.1 lub nowszej i rozważ unieważnienie haseł aplikacyjnych po blokadzie.
Oryginalny opis (angielski, źródło NVD)
The Block User Account WordPress plugin before 2.0.1 does not enforce its account block on every authentication path, allowing a blocked user who holds an application password created before the block to retain their full role-level read and write access through the REST API.