CVE-2026-89324
KrytyczneCVSS 9.8Streszczenie
Wtyczka Basel Post Types dla WordPressa (wersje do 1.18 włącznie) zawiera błąd w kodzie uwierzytelniania, który powoduje stałe użycie zaszytego w kodzie źródłowym motywu klucza SECURE_AUTH_SALT. Ponieważ klucz jest publicznie znany, nieuwierzytelniony atakujący może offline sfałszować podpis Opauth i wysłać spreparowane żądanie callback, logując się jako dowolny istniejący użytkownik, w tym administrator. Wymaga to aktywnego WooCommerce oraz skonfigurowanego dostawcy logowania społecznościowego (Facebook, Google lub VKontakte).
Ocena ryzyka
Atakujący może przejąć konto administratora bez znajomości hasła, omijając uwierzytelnianie wieloskładnikowe i uzyskując pełną sesję. Prowadzi to do całkowitego przejęcia serwisu WordPress.
Rekomendacja
Zaktualizuj wtyczkę Basel Post Types do wersji nowszej niż 1.18 lub wyłącz ją do czasu wydania poprawki. Sprawdź logi pod kątem podejrzanych żądań ?opauth i przejrzyj konta pod kątem nieautoryzowanych zmian.
Powiązane podatności
- CVE-2026-64682Krytyczne
W AstroBlocks (CMS dla projektów Astro) przed wersją 3.4.0 tokeny sesji administratora mogą być fałszowane z powodu zaszytego awaryjnego sekretu JWT oraz niezgodnej nazwy zmiennej środowiskowej. Osoba znająca publiczną wartość awaryjną (czytelną w opublikowanym pakiecie) może sfałszować ważny token sesji z rolą "owner" i uzyskać pełną kontrolę administracyjną nad CMS.
- CVE-2026-64678Krytyczne
W bazie Nitrite (NO2) przed wersją 4.4.1 funkcja MVStoreUtils.openOrCreate() automatycznie wykrywa starszy format v1 i uruchamia migrację, która deserializuje wartości przez java.io.ObjectInputStream.readObject() bez listy dozwolonych klas ani ObjectInputFilter. Każda klasa Serializable dostępna na classpath aplikacji może zostać utworzona, co przy obecności odpowiedniej klasy gadget (np. z commons-collections) stanowi warunek wstępny zdalnego wykonania kodu.
- CVE-2026-64670Krytyczne
W Waline w wersjach 3.15.2 i wcześniejszych klient @waline/client renderuje podgląd edytora komentarzy za pomocą marked bez sanityzacji i wstrzykuje go przez v-html. Podczas edycji komentarza edytor jest wypełniany surową, niesanityzowaną treścią, więc administrator klikający Edytuj na komentarzu atakującego renderuje surowy HTML w swojej sesji, co prowadzi do przechowywanego XSS i eskalacji uprawnień.
- CVE-2026-126542Krytyczne
WWBN AVideo w wersjach 6.5 do 29.7.1 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik poprzez nazwy wyświetlane w logowaniu społecznościowym Hybridauth. Atakujący może ustawić nazwę wyświetlaną w X, Facebook, Yahoo lub LinkedIn na nazwę użytkownika ofiary i pominąć e-mail, co powoduje zalogowanie jako to konto, w tym administratora, bez hasła.
- CVE-2026-126261Krytyczne
Podatność nieprawidłowej autoryzacji w Fortinet FortiManager w wersjach 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.5 oraz 7.2.0–7.2.8 może pozwolić nieuwierzytelnionemu atakującemu z dostępem do portu FGFM na wykonanie kodu lub poleceń za pomocą spreparowanych pakietów FGFM.
- CVE-2026-126187Krytyczne
Pakiety react-server-dom-webpack, react-server-dom-parcel i react-server-dom-turbopack w wersjach od 19.0.0 do 19.0.9, 19.1.10, 19.2.9 i 19.3.1 są podatne na nieuwierzytelnione zdalne wykonanie kodu poprzez spreparowane dane wejściowe wymierzone w frameworki obsługujące React Server Components. Podatność dotyczy wyłącznie rzadkich przypadków, gdy odpowiedzi transportują wiele tablic typowanych wraz z wartością kontrolowaną przez atakującego; aplikacje bez kodu serwerowego lub bez frameworku/bundlera obsługującego React Server Components nie są zagrożone.
- CVE-2026-82391Krytyczne
W serwerze HTTP Zephyr, w obsłudze HTTP/2, funkcja handle_http2_static_fs_resource() przekazywała &client->data_len jako parametr wyjściowy rozmiaru pliku, nadpisując licznik nieprzetworzonych bajtów w buforze odbiorczym. Serwowanie dowolnego pliku statycznego przez nieuwierzytelniony GET HTTP/2 powodowało, że client->data_len przyjmował rozmiar pliku, co prowadziło do odczytu i zapisu poza granicami bufora oraz korupcji pamięci. Luka dotyczy aplikacji rejestrujących zasób statycznego systemu plików (HTTP_RESOURCE_TYPE_STATIC_FS) z CONFIG_FILE_SYSTEM=y.
- CVE-2026-125883Krytyczne
N-able N-central przed wersją 26.4.1 jest podatny na niewłaściwe ograniczenie odwołań do zewnętrznych encji XML, co umożliwia zatruwanie schematu XML (XML Schema Poisoning). Podatność dotyczy wersji starszych niż 26.4.1.
- CVE-2026-125881Krytyczne
N-able N-central przed wersją 26.4.1 zawiera podatność typu Server-Side Request Forgery (SSRF), umożliwiającą atakującemu wymuszenie żądań po stronie serwera. Podatność dotyczy wersji starszych niż 26.4.1.
- CVE-2026-125298Krytyczne
AsiaInfo Business Support System (BSS) w wersjach 9.2.0 do 9.2.40 nieprawidłowo weryfikuje podpisy kryptograficzne tokenów JWT. Zdalny, nieuwierzytelniony atakujący może sfałszować poprawnie sformatowany token JWT bez ważnego podpisu i użyć go do wykonania uprzywilejowanych akcji. Poprawiono w wersji 9.2.41.
Oryginalny opis (angielski, źródło NVD)
The Basel Post Types plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.18. The vulnerability exists because a missing-quotes coding error in the defined() call for SECURE_AUTH_SALT inside BASEL_Auth::get_config() causes PHP to evaluate the constant's value rather than its name, making the check always fail and permanently falling back to the static hardcoded salt 2NlBUibcszrVtNmDnxqDbwCOpLWq91eatIz6O1O that is publicly visible in the theme source code; because this salt is static and known, an attacker can compute a valid Opauth signature entirely offline and submit a forged ?opauth callback to the unauthenticated init hook endpoint processed by register_or_login. This makes it possible for unauthenticated attackers to authenticate as any existing WordPress user, including administrators, by forging a callback tied to a known target account email address — bypassing all password verification, multi-factor authentication, and ownership checks, and receiving a fully authenticated session cookie via wc_set_customer_auth_cookie(). Exploitation requires WooCommerce to be active and at least one Basel social-login provider (Facebook, Google, or VKontakte) to be configured with a valid app_id and app_secret in the theme settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS