CVE-2026-81766
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Really Simple Security dla WordPressa przed wersją 9.8.0 nie sprawdza, czy użytkownik ma uprawnienia do instalowania wtyczek, co pozwala administratorowi podstrony w sieci multisite na instalację i wykonanie dowolnego kodu w katalogu wtyczki współdzielonym przez sieć. Wykorzystanie wymaga włączenia przez administratora sieci menu administracyjnego wtyczki dla podstron, co nie jest domyślne.
Ocena ryzyka
Ryzyko przejęcia kontroli nad całym środowiskiem WordPress multisite przez administratora podstrony, co może prowadzić do wykonania złośliwego kodu w kontekście sieci.
Rekomendacja
Zaktualizuj wtyczkę Really Simple Security do wersji 9.8.0 lub nowszej. Dodatkowo, jeśli nie jest to konieczne, wyłącz menu administracyjne wtyczki dla podstron.
Inne podatności w Really Simple Security
Zobacz wszystkie- CVE-2026-88798Średnie
Wtyczka Really Simple Security dla WordPressa przed wersją 9.8.3 nie weryfikuje wartości adresu dostarczonej przez klienta przed użyciem jej jako klucza przechowywania w jednej z własnych opcji, co pozwala nieuwierzytelnionym atakującym na nieograniczone zwiększanie tej opcji i spowalnianie obsługi nieistniejących stron.
- CVE-2026-82519Średnie
Wtyczka Really Simple Security dla WordPressa przed wersją 9.8.2 zawiera podatność polegającą na braku kontroli autoryzacji, co pozwala uwierzytelnionym atakującym z niskimi uprawnieniami na ominięcie wymuszonego uwierzytelniania dwuskładnikowego (2FA) w nieskończoność. Atakujący może wysłać spreparowane żądanie POST bez pola 2FA, aby pominąć weryfikację nonce i zresetować znacznik czasu okresu przejściowego.
Oryginalny opis (angielski, źródło NVD)
The Really Simple Security WordPress plugin before 9.8.0 does not check that the user is allowed to install Really Simple Security WordPress plugin before 9.8.0 before installing one from a user-supplied URL, allowing an administrator of a subsite on a multisite network to install and execute arbitrary code in the network-shared Really Simple Security WordPress plugin before 9.8.0 directory, which WordPress otherwise reserves to the network administrator. Exploitation requires the network administrator to have enabled the Really Simple Security WordPress plugin before 9.8.0 administration menu for subsites, which is not the default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS