CVE-2026-97637
KrytyczneCVSS 9.8Streszczenie
Podatność obejścia uwierzytelniania we wtyczce JSON API Auth dla WordPressa we wszystkich wersjach do 3.1.2 włącznie. Wtyczka nadrzędna PI-Media/json-api buforuje wyniki dyspozytora kontrolera w transientach kluczowanych wyłącznie URI i stringiem zapytania, ignorując metodę HTTP i treść POST. Powoduje to, że endpoint `generate_auth_cookie()` serwuje zbuforowaną odpowiedź uwierzytelnioną każdemu kolejnemu nieuwierzytelnionemu żądaniu GET do tego samego URI.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać ważny cookie sesji administratora i w pełni uwierzytelnić się jako administrator witryny. Wymaga to zainstalowania i aktywowania wtyczki PI-Media/json-api oraz wysłania przez administratora POST do `/api/auth/generate_auth_cookie/` w ciągu ostatnich 24 godzin.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz wyłączenie buforowania odpowiedzi dla endpointów uwierzytelniających.
Powiązane podatności
- CVE-2026-91135Krytyczne
Podatność przepełnienia bufora na stercie w Apache Thrift C++ THeaderTransport. Gdy aplikacja włącza transformację ZLIB dla wysyłanych ramek, funkcja THeaderTransport::transform() kopiuje skompresowaną ramkę do bufora zapisu bez sprawdzenia, czy się w nim zmieści. Dane, które się nie kompresują, takie jak treść dostarczona przez zdalnego użytkownika, rosną podczas kompresji, więc kopia zapisuje poza koniec bufora sterty, a dla dużych ramek czyta również poza koniec bufora transformacji.
- CVE-2026-86325Krytyczne
Podatność przepełnienia bufora na stosie w interfejsie zarządzania kontami bram protokołów. Wynika z niewystarczającej walidacji długości parametru `account_name` podczas przetwarzania żądań zarządzania kontami. Atakujący uwierzytelniony jako użytkownik tylko do odczytu w interfejsie zarządzania WWW może dostarczyć specjalnie spreparowaną nazwę konta przekraczającą rozmiar wewnętrznego bufora stosu, co prowadzi do uszkodzenia przepływu wykonywania programu.
- CVE-2026-94541Krytyczne
Podatność obejścia autoryzacji we wtyczce WPMobile.App – Android and iOS App Builder dla WordPressa we wszystkich wersjach do 11.82 włącznie. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest upoważniony do wykonania akcji. Umożliwia to nieuwierzytelnionym atakującym eksfiltrację URL-i resetowania hasła dla dowolnych użytkowników, w tym administratorów, które są lustrowane do kolejki push przez funkcję mail-to-push, i wykorzystanie tych URL-i do przejęcia kont.
- CVE-2026-93698Krytyczne
Niewystarczająca walidacja umożliwia wykonywanie dowolnych poleceń za pośrednictwem narzędzia administracyjnego Multilang.
- CVE-2026-93697Krytyczne
Podatność XSS (przechowywany) umożliwiająca wykonywanie dowolnego kodu w interfejsie WHM Mass Modify Accounts.
- CVE-2026-93029Krytyczne
Podatność XSS (przechowywany) umożliwiająca wykonywanie dowolnego kodu w interfejsie WHM Manage SSL Hosts.
- CVE-2026-63569Krytyczne
Niewłaściwa walidacja danych wejściowych w DHAgreement.CalculateAgreement (MTI/A0 dwuprzebiegowy Diffie-Hellman) w Legion of the Bouncy Castle Inc. bc-csharp przed 2.7.0. Pozwala atakującemu w ścieżce sieciowej sprawić, że lokalna strona obliczy uzgodnioną wartość, którą atakujący już zna, co niweczy uwierzytelnianie klucza, które MTI/A0 ma zapewniać. Umożliwia również złośliwemu peerowi poznanie lokalnego statycznego klucza prywatnego modulo małe czynniki p-1 i odzyskanie go w grupach z wieloma takimi czynnikami.
- CVE-2026-15896Krytyczne
Podatność Directory Traversal we wtyczce Super Forms – Drag & Drop Form Builder dla WordPressa we wszystkich wersjach do 6.3.316 włącznie, przez funkcję parse_request. Umożliwia nieuwierzytelnionym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Opcjonalne ustawienie 'file_upload_auth' domyślnie jest puste, co oznacza brak wymaganego uwierzytelnienia w domyślnej konfiguracji.
- CVE-2026-19660Krytyczne
Wtyczka Divi Membership dla WordPressa do wersji 2.3.0 włącznie ma podatność na pominięcie uwierzytelniania. Funkcja process_paypal_callback akceptuje zakodowany base64 parametr paypal_param bez walidacji IPN, podpisu kryptograficznego, weryfikacji własności ani nonce, co pozwala na zalogowanie się jako dowolny użytkownik, w tym administrator.
- CVE-2026-14378Krytyczne
Wtyczka DevKit Pro dla WordPressa do wersji 2.3.0 włącznie ma podatność na pominięcie uwierzytelniania prowadzącą do przejęcia konta administratora. Obsługa revert_switch ufa kontrolowanemu przez atakującego ciasteczku original_user_id, a weryfikacja nonce i uprawnień jest przeprowadzana na podstawie tego ciasteczka, a nie rzeczywistego żądającego.
Oryginalny opis (angielski, źródło NVD)
The JSON API Auth plugin for WordPress is vulnerable to Authentication Bypass via Cached Session Cookie Disclosure in all versions up to, and including, 3.1.2. The vulnerability exists because the required PI-Media/json-api parent plugin caches controller dispatch results in transients keyed solely by URI and query string, ignoring HTTP method and POST body; this causes the `generate_auth_cookie()` endpoint — which embeds a live WordPress `logged_in` cookie produced by `wp_generate_auth_cookie()` directly in its JSON response body — to serve that cached authenticated response to any subsequent unauthenticated GET request to the same URI. This makes it possible for unauthenticated attackers to retrieve a valid Administrator `logged_in` session cookie from the cached response and use it to fully authenticate as the site Administrator, including via the same plugin's `get_currentuserinfo` endpoint and any cookie-authenticated controller action. Exploitation requires the PI-Media/json-api parent plugin to be installed and active with the Auth controller enabled, and a legitimate Administrator must have POSTed to `/api/auth/generate_auth_cookie/` within the preceding 24-hour cache TTL; the nominal HTTPS enforcement gate present in `Auth.php` is trivially bypassed by supplying `insecure=cool` as a request parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS