CVE-2026-96524
NieznaneStreszczenie
Wtyczka MCP Server for WordPress przed wersją 1.8.2 nieprawidłowo weryfikuje nonce WordPress REST API dla żądań uwierzytelnionych ciasteczkami, gdy występuje warunek, który atakujący może wpłynąć. Pozwala to nieuwierzytelnionym atakującym na wykonywanie działań zarezerwowanych dla administratorów, w tym tworzenie nowego konta administratora, poprzez nakłonienie zalogowanego administratora do odwiedzenia spreparowanej strony.
Ocena ryzyka
Atakujący może przejąć kontrolę nad witryną, tworząc konto administratora, co prowadzi do pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj wtyczkę do wersji 1.8.2 lub nowszej. Dodatkowo edukuj administratorów o zagrożeniach związanych z odwiedzaniem nieznanych stron i wdróż dodatkowe zabezpieczenia, takie jak CAPTCHA.
Inne podatności w MCP Server for WordPress
Zobacz wszystkie- CVE-2026-96526Nieznane
Wtyczka MCP Server for WordPress przed wersją 1.8.2 nie przeprowadza kontroli autoryzacji na poziomie obiektu w jednej z tras REST przepływu pracy. Użytkownicy z rolą Współautor mogą ujawnić tytuł i status publikacji dowolnego posta, strony lub niestandardowego typu treści, w tym prywatnych, szkiców, oczekujących i zaplanowanych treści innych użytkowników.
- CVE-2026-96525Nieznane
Wtyczka MCP Server for WordPress przed wersją 1.8.2 nie przeprowadza kontroli własności ani wystarczających uprawnień w trasach REST tworzenia, aktualizacji i usuwania przepływów pracy. Użytkownicy z rolą Współautor mogą modyfikować, usuwać i tworzyć konfiguracje przepływów pracy w całej witrynie, w tym przepływy utworzone przez administratorów.
Oryginalny opis (angielski, źródło NVD)
The MCP Server for WordPress WordPress plugin before 1.8.2 does not correctly verify the WordPress REST API nonce for cookie-authenticated requests when a condition an attacker can influence is present, allowing unauthenticated attackers to perform administrator-only actions, including creating a new administrator account, by tricking a logged-in administrator into visiting a crafted page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS