CVE-2026-12158
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 — wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka RegistrationMagic – User Registration Forms dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 6.0.9.1 włącznie. Brak walidacji nonce w funkcji process_request umożliwia nieuwierzytelnionemu atakującemu eskalację uprawnień dowolnego użytkownika formularza do administratora poprzez utworzenie złośliwego zadania Chronos wykonywanego przez cron WordPressa.
Ocena ryzyka
Atakujący może przejąć kontrolę nad kontem administratora, co prowadzi do pełnej kompromitacji witryny WordPress, w tym kradzieży danych, modyfikacji treści i instalacji złośliwego oprogramowania.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę RegistrationMagic do najnowszej dostępnej wersji, która zawiera poprawkę usuwającą brak walidacji nonce. Do czasu aktualizacji rozważ tymczasowe wyłączenie wtyczki.
Oryginalny opis (angielski, źródło NVD)
The RegistrationMagic – User Registration Forms Plugin plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 6.0.9.1. This is due to missing or incorrect nonce validation on the process_request function. This makes it possible for unauthenticated attackers to escalate the privileges of an arbitrary form submitter to administrator by creating a malicious Chronos automation task that is executed via WordPress cron via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.