CVE-2026-75824
NieznaneStreszczenie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.12 nie sprawdza, czy witryna zezwala na rejestrację użytkowników przed utworzeniem konta, co pozwala nieuwierzytelnionym użytkownikom na tworzenie kont na stronach, gdzie rejestracja jest wyłączona. Utworzone konto otrzymuje domyślną rolę witryny.
Ocena ryzyka
Ryzyko polega na tym, że nieautoryzowane osoby mogą uzyskać dostęp do witryny, nawet jeśli administrator wyłączył rejestrację, co może prowadzić do niekontrolowanego wzrostu liczby kont i potencjalnego nadużycia zasobów.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki User Frontend do wersji 4.3.12 lub nowszej, która zawiera poprawkę zapobiegającą tworzeniu kont, gdy rejestracja jest wyłączona.
Inne podatności w User Frontend WordPress plugin
Zobacz wszystkie- CVE-2026-75823Nieznane
Wtyczka User Frontend dla WordPressa przed wersją 4.3.12 nie zapobiega manipulacji rolą przypisaną przez formularz rejestracyjny, co pozwala nieuwierzytelnionym użytkownikom na rejestrację z rolą o wyższych uprawnieniach, taką jak Edytor. Dotyczy to instalacji z PHP, gdzie rozszerzenie sodium jest niedostępne, oraz gdy skonfigurowano stronę rejestracji. Rola administratora nie może być w ten sposób uzyskana.
- CVE-2026-14567Średnie
Wtyczka WordPress User Frontend przed wersją 4.3.10 nie ogranicza dostępu do punktu końcowego wyszukiwania w katalogu użytkowników. Pozwala to nieuwierzytelnionym atakującym na pobranie adresów e-mail i numerów telefonów wszystkich zarejestrowanych użytkowników, w tym administratorów.
- CVE-2026-14568Średnie
Wtyczka User Frontend: AI Powered Frontend Post Submission, User Directory, User Profile, Membership & User Registration WordPress przed wersją 4.3.8 nieprawidłowo weryfikuje własność przed usunięciem załącznika. Nieuwierzytelnieni atakujący mogą trwale usuwać załączniki bez autora, takie jak przesłane przez gości lub domyślne multimedia wtyczki.
Oryginalny opis (angielski, źródło NVD)
The User Frontend WordPress plugin before 4.3.12 does not check whether the site allows user registration before creating an account, allowing unauthenticated users to create accounts on sites where registration is disabled. The created account receives the site's default role.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS