CVE-2026-77753
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Temporary Login Without Password w wersji przed 1.9.9 nie blokuje tymczasowemu użytkownikowi utworzenia Application Password i nie unieważnia go, gdy tymczasowy dostęp wygaśnie lub zostanie wyłączony. Odbiorca tymczasowego loginu zachowuje działający dostęp do witryny przez REST i XML-RPC po tym, jak administrator sądzi, że został on odebrany.
Ocena ryzyka
Zachowany dostęp działa z uprawnieniami przyznanymi przy tworzeniu konta, co w głównym zastosowaniu tej wtyczki oznacza uprawnienia Administratora. Może to prowadzić do trwałego, niezauważonego przejęcia witryny.
Rekomendacja
Zaktualizuj wtyczkę Temporary Login Without Password do wersji 1.9.9 lub nowszej. Sprawdź i unieważnij wszelkie Application Passwords powiązane z kontami tymczasowymi.
Inne podatności w Temporary Login Without Password WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Temporary Login Without Password WordPress plugin before 1.9.9 does not prevent a temporary user from creating an Application Password, and does not revoke one when the temporary access expires or is disabled, allowing the recipient of a temporary login to retain working access to the site over REST and XML-RPC after the administrator believes it has been withdrawn. The retained access carries whatever role was granted, which for the Temporary Login Without Password WordPress plugin before 1.9.9's main use case is Administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS