CVE-2026-89080

WysokieCVSS 7.5

Opublikowano: 13/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 13/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Really Simple Security przed wersją 9.8.1 nie zapobiega nieuwierzytelnionemu żądaniu resetującemu zakończoną rejestrację dwuskładnikową e-mail. Atakujący znający hasło konta może obejść drugi czynnik i uzyskać sesję użytkownika, aż do administratora.

Ocena ryzyka

Obejście uwierzytelniania dwuskładnikowego umożliwia atakującemu przejęcie konta, w tym konta administratora, jeśli zna hasło. Prowadzi to do pełnej kompromitacji witryny.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Really Simple Security do wersji 9.8.1 lub nowszej. Dodatkowo zaleca się wymuszenie zmiany haseł dla wszystkich kont uprzywilejowanych.

Inne podatności w Really Simple Security WordPress plugin

CVE-2026-8293Wysokie
Wtyczka Really Simple Security dla WordPressa przed wersją 9.5.10.1 nie wymusza drugiego czynnika uwierzytelniania w dwóch swoich punktach końcowych REST uwierzytelniania dwuskładnikowego, co pozwala atakującemu znającemu hasło użytkownika na uzyskanie sesji uwierzytelniania WordPress bez ukończenia wyzwania OTP e-mail.

Oryginalny opis (angielski, źródło NVD)

The Really Simple Security WordPress plugin before 9.8.1 does not prevent an unauthenticated request from resetting an account's completed email two-factor enrolment, allowing an attacker who already knows the account's password to bypass the second factor and obtain that user's session, up to administrator.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS