CVE-2026-86814
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka UsersWP dla WordPressa przed wersją 1.5.10 nie weryfikuje, czy dostawca logowania społecznościowego potwierdził posiadanie adresu e-mail przed użyciem go do rozpoznania istniejącego konta, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administrator, jeśli mogą potwierdzić jego adres e-mail przez własne konto u dostawcy.
Ocena ryzyka
Atakujący może przejąć konto administratora, uzyskując pełną kontrolę nad witryną, w tym dostęp do danych użytkowników i możliwość modyfikacji treści.
Rekomendacja
Zaktualizuj wtyczkę do wersji 1.5.10 lub nowszej. Wymuś weryfikację adresu e-mail przez dostawców logowania społecznościowego i monitoruj logi logowań pod kątem podejrzanych aktywności.
Inne podatności w UsersWP
Zobacz wszystkie- CVE-2026-19991Wysokie
Wtyczka UsersWP dla WordPressa (wersje do 1.2.70 włącznie) jest podatna na usuwanie dowolnych plików poprzez handler AJAX upload_file_remove(). Uwierzytelniony atakujący z poziomem Subscriber lub wyższym może usunąć dowolne pliki na serwerze, w tym wp-config.
- CVE-2026-18501Średnie
Wtyczka UsersWP – Front-end login form, User Registration, User Profile & Members Directory dla WordPressa w wersjach do 1.2.69 jest podatna na Stored Cross-Site Scripting (XSS) przez podstawianie zmiennych w widżecie Badge. Podatność wynika z niedostatecznej sanitizacji wejścia i braku escape'owania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-13492Wysokie
Wtyczka UsersWP dla WordPressa do wersji 1.2.65 włącznie zawiera podatność na arbitralne usuwanie plików. Wynika to z niewystarczającej walidacji pól plików w funkcji UsersWP_Validation::validate_fields() oraz braku kanonizacji ścieżki w handlerze AJAX UsersWP_Forms::upload_file_remove(), co pozwala na usunięcie dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
The UsersWP WordPress plugin before 1.5.10 does not verify that a social login provider has confirmed ownership of an email address before using it to resolve an existing account, allowing unauthenticated attackers to log in as any user, including administrators, whose email address they can assert through a provider account of their own.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS