CVE-2026-75957
KrytyczneCVSS 9.8Streszczenie
Wtyczka Ultimate Multisite – WordPress Multisite SaaS & WaaS Platform dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 2.15.0 włącznie, poprzez parametr `checkout_form` funkcji `login_customer_after_checkout`. Publicznie dostępny handler AJAX `wu_ajax_nopriv_wu_validate_form` akceptuje swobodnie dostępny nonce checkout, a parametr `checkout_form=wu-finish-checkout` powoduje, że `get_validation_rules()` odrzuca wszystkie reguły walidacji, podczas gdy `finish_checkout_form_fields()` zwraca pustą listę kroków — wymuszając `is_last_step()` na true i kierując żądanie bezpośrednio do pełnego przetwarzania zamówienia — po czym `maybe_create_customer()` rozwiązuje podany przez atakującego `email_address` na istniejący identyfikator użytkownika WordPressa bez uwierzytelnienia lub weryfikacji własności, a `login_customer_after_checkout()` wywołuje `wp_set_auth_cookie()` dla tego identyfikatora użytkownika przez bezhasłową ścieżkę kodu. To umożliwia nieuwierzytelnionym atakującym zalogowanie się jako dowolny istniejący użytkownik WordPressa — w tym Super Admin sieci — po prostu znając ich adres e-mail. Eksploatacja wymaga, aby docelowe konto użytkownika nie miało wcześniej istniejącego rekordu klienta Ultimate Multisite; konta takie jak Super Admin sieci na świeżej instalacji Multisite lub dowolny administrator lub edytor dodany przed skonfigurowaniem Ultimate Multisite spełniają ten warunek i są podatne.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie konta administratora, co może prowadzić do naruszenia poufności, integralności i dostępności całej witryny WordPress.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Ultimate Multisite do wersji nowszej niż 2.15.0, jeśli dostępna, lub rozważenie jej usunięcia, jeśli nie ma poprawki.
Powiązane podatności
- CVE-2026-103264Krytyczne
Fleet przed wersją 4.87.0 zawiera podatność obejścia uwierzytelniania w API urządzeń, która akceptuje nazwy hostów i numery seryjne sprzętu jako tokeny uwierzytelniające oprócz identyfikatorów UUID urządzeń. Nieuwierzytelnieni atakujący, którzy znają lub zgadną te niejawne identyfikatory, mogą uwierzytelnić się jako hosty iOS/iPadOS, aby odczytać dane urządzenia i wywołać akcje na urządzeniu, w tym instalację oprogramowania i migrację MDM.
- CVE-2026-103255Krytyczne
n8n przed wersjami 1.123.80, 2.39.6 i 2.40.1 zawiera podatność typu path traversal w węźle Supabase, gdzie parametr tableId jest wstawiany do ścieżek żądań bez walidacji. Atakujący mogą wykorzystać przepływy pracy wiążące tableId z niezaufanym wejściem, aby przejść do API Auth i Storage przy użyciu administracyjnego klucza serviceRole, omijając Row Level Security i umożliwiając nieautoryzowany dostęp i modyfikację danych.
- CVE-2026-103248Krytyczne
n8n przed wersjami 1.123.80, 2.39.6 i 2.40.1 zawiera podatność typu filter injection w węźle Supabase w trybie Filters (String), która nie escapuje wartości pól. Atakujący mogą wstrzykiwać wyrażenia filtrów z niezaufanego wejścia, aby odczytać wszystkie wiersze tabeli, zaktualizować wszystkie rekordy lub usunąć całe tabele w jednym żądaniu.
- CVE-2026-103244Krytyczne
ground-station przed wersją 0.8.0 zawiera podatność obejścia uwierzytelniania w poleceniu setup.restore, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego SQL podczas trybu pierwszej konfiguracji. Atakujący mogą wywołać setup.restore przez Socket.IO, aby umieścić konta administratorów i sfałszowane tokeny sesji, a następnie uwierzytelnić się jako administrator bez poświadczeń, co prowadzi do całkowitego przejęcia aplikacji.
- CVE-2026-103655Krytyczne
MISP zawiera podatność w procesie weryfikacji dwuskładnikowego uwierzytelniania (TOTP), która pozwala na wielokrotne użycie ważnego kodu jednorazowego w ramach jego okna czasowego. System nie rejestrował, czy dany okres TOTP został już zużyty, więc ten sam kod pozostawał ważny przez cały czas (zwykle 30 sekund). Atakujący, który przechwyci legalny kod podczas logowania użytkownika, może go powtórzyć, aby uwierzytelnić drugą sesję jako ten użytkownik.
- CVE-2026-15989Krytyczne
Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 6.3.316 włącznie. Funkcja `before_email_success_msg()` dodatku Register & Login umieszcza na białej liście klucz 'role' przesłany przez klienta i kopiuje go do tablicy danych użytkownika przekazywanej bezpośrednio do `wp_insert_user()`, bez walidacji przesłanej roli względem skonfigurowanej `register_user_role`, bez listy dozwolonych ról i bez sprawdzenia uprawnień `current_user_can()`. To umożliwia nieuwierzytelnionym atakującym zarejestrowanie nowego konta z rolą Administratora poprzez wstrzyknięcie `role=administrator` do danych przesłanych do dowolnego opublikowanego formularza rejestracyjnego Super Forms (register_login_action='register').
- CVE-2025-41753Krytyczne
Nazwa obiektu dynamicznie utworzonego pliku BACnet File Object jest interpretowana jako ścieżka pliku bez wystarczającej walidacji. Ponieważ ścieżki względne nie są ograniczone do zamierzonego katalogu, nieuwierzytelniony zdalny atakujący może wyjść poza niego i odczytać lub nadpisać dowolne pliki na urządzeniu, co może prowadzić do całkowitego przejęcia systemu.
- CVE-2026-101148Krytyczne
Wtyczka BackupSheep WordPress Backup Plugin dla WordPressa do wersji 1.8 nie waliduje poprawnie swojego klucza integracyjnego, traktując nieustawiony lub pusty klucz jako ważny, co pozwala nieuwierzytelnionym atakującym na tworzenie i pobieranie pełnych kopii zapasowych witryny, w tym bazy danych z haszami haseł użytkowników, oraz na usuwanie dowolnych plików na serwerze, co prowadzi do ujawnienia wrażliwych danych i przejęcia witryny. Wtyczka BackupSheep WordPress Backup Plugin do wersji 1.8 została zamknięta na WordPress.org od lipca 2024 i nie jest dostępna żadna wersja z poprawką. Należy ją usunąć z każdej witryny, na której jest zainstalowana.
- CVE-2026-92966Krytyczne
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa do wersji 5.7.0 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Atakujący bez uwierzytelnienia może umieścić złośliwy shortcode podczas procesu rezerwacji, który zostanie wykonany po wyrenderowaniu przez komponent Customer Cabinet.
- CVE-2026-82829Krytyczne
Hitachi Coding Software Suite do wersji 3.3.0 zawiera ukrytą funkcjonalność, która umożliwia atakującemu nieautoryzowany dostęp poprzez wykorzystanie ukrytych kont lub zaszytych poświadczeń.
Oryginalny opis (angielski, źródło NVD)
The Ultimate Multisite – WordPress Multisite SaaS & WaaS Platform plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 2.15.0 via the `checkout_form` parameter of the `login_customer_after_checkout` function. This is due to the publicly accessible `wu_ajax_nopriv_wu_validate_form` AJAX handler accepting a freely obtainable checkout nonce, and the `checkout_form=wu-finish-checkout` parameter causing `get_validation_rules()` to discard all validation rules while `finish_checkout_form_fields()` returns an empty step list — forcing `is_last_step()` to return true and routing the request directly into full order processing — after which `maybe_create_customer()` resolves the attacker-supplied `email_address` to an existing WordPress user ID without any authentication or ownership verification, and `login_customer_after_checkout()` calls `wp_set_auth_cookie()` for that user ID via a passwordless code path. This makes it possible for unauthenticated attackers to log in as any existing WordPress user — including a Network Super Admin — simply by knowing their email address. Exploitation requires that the targeted user account has no pre-existing Ultimate Multisite customer record; accounts such as a Network Super Admin on a fresh Multisite install, or any administrator or editor added before Ultimate Multisite was configured, satisfy this condition and are therefore exploitable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS