CVE-2026-111464
ŚrednieCVSS 5.9Streszczenie
Wtyczka WP Fastest Cache dla WordPressa w wersjach do 1.5.3 włącznie jest podatna na ujawnienie wrażliwych informacji. Wtyczka buforuje odpowiedź wp-activate.php bez respektowania nagłówków no-store/no-cache, cookie wp-activate-* ani stanu WP_INSTALLING, zapisując odpowiedź aktywacji zawierającą dane uwierzytelniające do publicznie dostępnego pliku cache. Umożliwia to nieuwierzytelnionemu atakującemu odczytanie jawnego loginu i 12-znakowego hasła ostatnio aktywowanego użytkownika Multisite z tego pliku.
Ocena ryzyka
Atakujący może uzyskać dane logowania nowo zarejestrowanego użytkownika Multisite, co może prowadzić do przejęcia konta i nieautoryzowanego dostępu do instalacji WordPress. Wymaga to instalacji Multisite w podkatalogu z włączoną publiczną rejestracją użytkowników i witryn oraz rzeczywistego kliknięcia linku aktywacyjnego przez zarejestrowanego użytkownika.
Rekomendacja
Zaktualizuj wtyczkę WP Fastest Cache do wersji nowszej niż 1.5.3, która naprawia podatność. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie buforowania dla wp-activate.php lub ograniczenie publicznej rejestracji w Multisite.
Inne podatności w WP Fastest Cache
Zobacz wszystkie- CVE-2026-74916Średnie
Wtyczka WP Fastest Cache dla WordPressa przed wersją 1.5.1 nie uwzględnia zestawu parametrów zapytań śledzących w kluczu pamięci podręcznej stron, jednocześnie buforując strony żądane z tymi parametrami. Umożliwia to nieuwierzytelnionym atakującym wyświetlenie strony w ich własnym kontekście żądania, zapisanej pod czystym URL-em i serwowanej każdemu kolejnemu odwiedzającemu.
- CVE-2026-19760Wysokie
Wtyczka WP Fastest Cache dla WordPressa jest podatna na przechowywany XSS przez nagłówek HTTP Host we wszystkich wersjach do 1.5.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty na strony, które wykonają się przy dostępie użytkownika. Wymaga to aktywnej wtyczki Polylang lub Polylang Pro oraz włączonej opcji Combine JS.
- CVE-2026-74932Wysokie
Wtyczka WP Fastest Cache dla WordPressa przed wersją 1.5.1 nie waliduje nagłówka Host przed użyciem go do budowy adresów URL plików zasobów osadzanych w buforowanych stronach i nie uwzględnia tego nagłówka w kluczu pamięci podręcznej. Umożliwia to nieuwierzytelnionym atakującym zatrucie buforowanych stron odniesieniami do kontrolowanego przez nich serwera i wykonanie dowolnego JavaScriptu dla każdego kolejnego odwiedzającego.
- CVE-2025-10476Średnie
Wtyczka WP Fastest Cache do WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji wpfc_db_fix_callback(). Luka dotyczy wszystkich wersji do 1.4.0 włącznie i tylko witryn z aktywowaną wersją premium.
Oryginalny opis (angielski, źródło NVD)
The WP Fastest Cache plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.5.3. The plugin caches the response of Core’s wp-activate.php without honoring its no-store/no-cache headers, the wp-activate-* cookie, or the WP_INSTALLING state, writing the credential-bearing activation response to a publicly accessible cache file. This makes it possible for unauthenticated attackers to retrieve the plaintext username and twelve-character password of the most recently activated Multisite registrant from that cached wp-activate.php response. Exploitation requires a Multisite subdirectory installation with public user and site registration enabled, and the credentials are only exposed after a genuine registrant follows their activation link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS