CVE-2026-77264
KrytyczneCVSS 9.8Streszczenie
Wtyczka Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code dla WordPressa do wersji 4.8.6 włącznie jest podatna na obejście uwierzytelniania. Funkcja handle_email_otp_return() zwraca sekretny token logowania w odpowiedzi na publicznie dostępne żądanie OTP, zamiast wysyłać go tylko na adres e-mail użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator, jeśli znają jego adres e-mail.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć konto administratora, co prowadzi do pełnej kompromitacji strony WordPress i potencjalnie serwera.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do najnowszej wersji, która usuwa tę podatność, oraz rozważyć wymuszenie silnych haseł i dodatkowych metod uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
The Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code plugin for WordPress is vulnerable to Authentication Bypass in versions up to, and including, 4.8.6. This is due to the handle_email_otp_return() function returning the secret magic login token in the response to a publicly accessible OTP request, rather than only delivering it to the user's email address. This makes it possible for unauthenticated attackers to log in as any user on the site, including administrators, if they know that user's email address.