CVE-2026-86800
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Hide My WP Ghost dla WordPressa w wersjach przed 7.0.11 nie weryfikuje prawidłowo żądania sprawdzającego pętlę zwrotną przed wyłączeniem ochrony logowania i ukrywania adresów URL. Ochrona jest wyłączana, gdy wartość weryfikacyjna żądania jest brakująca lub nieprawidłowa, co może wywołać każdy odwiedzający, umożliwiając nieuwierzytelnionym atakującym ponowne ujawnienie ukrytej lokalizacji strony logowania WordPressa.
Ocena ryzyka
Atakujący może ujawnić prawdziwy adres strony logowania, co ułatwia ataki brute-force i targetowanie podatności. Osłabia to główną funkcję ochronną wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Hide My WP Ghost do wersji 7.0.11 lub nowszej. Do czasu aktualizacji rozważ dodatkowe zabezpieczenia logowania, takie jak ograniczenia IP i silne hasła.
Inne podatności w Hide My WP Ghost WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Hide My WP Ghost WordPress plugin before 7.0.11 does not properly validate a loopback security-check request before disabling its login and URL hiding protection, dropping that protection precisely when the request's verification value is missing or incorrect, which any visitor can arrange, allowing unauthenticated attackers to re-expose the concealed WordPress login page location.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS