CVE-2026-12255
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka MainWP Child dla WordPressa przed wersją 6.1.2 nie weryfikuje tożsamości żądającego w procedurze rejestracji witryny, gdy uwierzytelnianie hasłem zostało wyłączone dla docelowego konta, co pozwala nieuwierzytelnionemu atakującemu uzyskać ważną sesję uwierzytelniającą jako to konto, w tym administratora, poprzez podanie jego loginu w pojedynczym żądaniu rejestracji.
Ocena ryzyka
Atakujący może zalogować się jako dowolny użytkownik z wyłączonym uwierzytelnianiem hasłem, w tym administrator, co prowadzi do pełnego przejęcia witryny.
Rekomendacja
Zaktualizuj wtyczkę MainWP Child do wersji 6.1.2 lub nowszej.
Inne podatności w MainWP Child
Zobacz wszystkie- CVE-2026-105436Wysokie
Podatność na deserializację niezaufanych danych w MainWP Child (mainwp-child) pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 6.2.1.
- CVE-2026-27366Wysokie
Wtyczka MainWP Child w wersjach do 6.1.1 zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowane operacje na stronie bez wymaganego uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
The MainWP Child WordPress plugin before 6.1.2 does not verify the requester's identity in its site-registration request handler when password authentication has been disabled for the targeted account, allowing an unauthenticated attacker to obtain a valid authentication session as that account, including an administrator, by naming its login in a single registration request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS