CVE-2026-76793

WysokieCVSS 8.1

Opublikowano: 22/08/2026(UTC)Zaktualizowano: 12/10/2026(UTC)Przetłumaczono: 22/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Wtyczka Firebase Authentication dla WordPressa przed wersją 1.7.1 nie wymaga, aby adres e-mail w tokenie uwierzytelniającym był zweryfikowany przed dopasowaniem go do konta WordPress i wydaniem sesji, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administratorzy.

Ocena ryzyka

Podatność może umożliwić nieuwierzytelnionemu atakującemu pełne przejęcie konta administratora, co prowadzi do całkowitej kompromitacji witryny WordPress.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do wersji 1.7.1 lub nowszej, która zawiera poprawkę.

Inne podatności w Firebase Authentication

CVE-2026-85268Wysokie
Podatność Cross-Site Scripting (XSS, CWE-79) w module auth/handler w Google Cloud Identity Platform i Firebase Authentication w wersjach przed 2026-08-14 na iOS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu JavaScript przy użyciu złośliwego identyfikatora bundle ID iOS.

Oryginalny opis (angielski, źródło NVD)

The Firebase Authentication WordPress plugin before 1.7.1 does not require the email address in an authentication token to be verified before matching it to a WordPress account and issuing a session, allowing unauthenticated attackers to log in as any user, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS