CVE-2026-77752

WysokieCVSS 7.2

Opublikowano: 12/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Temporary Login Without Password w wersji przed 1.9.9 nie weryfikuje, czy użytkownik żądający tymczasowego loginu posiada uprawnienia super administratora sieci, przed przyznaniem nowemu kontu tych uprawnień. Administrator pojedynczej witryny w sieci multisite może przejąć całą sieć, a istniejące konto, w tym własne konto atakującego, może zostać awansowane.

Ocena ryzyka

Atakujący z uprawnieniami administratora jednej witryny w multisite może uzyskać kontrolę nad całą siecią. Może to skutkować pełnym przejęciem wszystkich witryn w sieci.

Rekomendacja

Zaktualizuj wtyczkę Temporary Login Without Password do wersji 1.9.9 lub nowszej. Sprawdź, czy w sieci multisite nie ma nieautoryzowanych kont z uprawnieniami super administratora.

Inne podatności w Temporary Login Without Password WordPress plugin

CVE-2026-77753Średnie
Wtyczka WordPress Temporary Login Without Password w wersji przed 1.9.9 nie blokuje tymczasowemu użytkownikowi utworzenia Application Password i nie unieważnia go, gdy tymczasowy dostęp wygaśnie lub zostanie wyłączony. Odbiorca tymczasowego loginu zachowuje działający dostęp do witryny przez REST i XML-RPC po tym, jak administrator sądzi, że został on odebrany.

Oryginalny opis (angielski, źródło NVD)

The Temporary Login Without Password WordPress plugin before 1.9.9 does not verify that the user requesting a temporary login holds network super admin rights before granting the new account those rights, allowing an administrator of a single site on a multisite network to take over the whole network. The same missing check also allows an existing account, including the attacker's own, to be promoted.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS