CVE-2026-86796
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Hide My WP Ghost dla WordPressa w wersjach przed 7.0.11 nie weryfikuje, czy żądanie jest autentycznym żądaniem WooCommerce, przed wyłączeniem zapory, wykrywania zagrożeń oraz ochrony logowania i ukrywania adresów URL. Samo wystąpienie parametru żądania dostarczonego przez atakującego jest traktowane jako wystarczające, co pozwala nieuwierzytelnionym atakującym wyłączyć te zabezpieczenia i ponownie ujawnić ukryte adresy logowania i panelu administracyjnego.
Ocena ryzyka
Atakujący może wyłączyć kluczowe zabezpieczenia witryny i ujawnić adresy logowania oraz panelu administracyjnego, co znacząco zwiększa ryzyko nieautoryzowanego dostępu. Ułatwia to ataki brute-force i wykorzystanie innych podatności.
Rekomendacja
Zaktualizuj wtyczkę Hide My WP Ghost do wersji 7.0.11 lub nowszej. Do czasu aktualizacji rozważ wdrożenie reguł WAF i monitorowanie prób dostępu do ukrytych adresów.
Inne podatności w Hide My WP Ghost WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Hide My WP Ghost WordPress plugin before 7.0.11 does not verify that a request is a genuine WooCommerce request before disabling its firewall, threat-detection and login/URL-hiding protections, treating the mere presence of an attacker-suppliable request parameter as sufficient, which allows unauthenticated attackers to disable those protections and re-expose the concealed login and admin URLs on any request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS