CVE-2026-77001
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Social Login & Sharing buttons with Analytics By SoClever dla WordPressa do wersji 1.2.0 nie przeprowadza żadnych kontroli uwierzytelniania, autoryzacji ani nonce w jednym z publicznie dostępnych handlerów logowania, co pozwala nieuwierzytelnionym atakującym uzyskać ważną sesję jako dowolny istniejący użytkownik, w tym administratorzy. W domyślnym przypadku uzyskują sesję jako oryginalne konto administratora bez znajomości jakichkolwiek danych konta.
Ocena ryzyka
Podatność może umożliwić nieuwierzytelnionemu atakującemu pełne przejęcie konta administratora, co prowadzi do całkowitej kompromitacji witryny WordPress.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji zawierającej poprawkę lub jej usunięcie, jeśli nie jest niezbędna.
Oryginalny opis (angielski, źródło NVD)
The Social Login & Sharing buttons with Analytics By SoClever WordPress plugin through 1.2.0 does not perform any authentication, authorisation or nonce checks in one of its publicly accessible login handlers, allowing unauthenticated attackers to obtain a valid session as any existing user, including administrators. In the default case a session as the site's original administrator account is obtained without needing to know any account details at all.