CVE-2026-15038
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Wtyczka InfiniteWP Client dla WordPressa przed wersją 1.13.6 nieprawidłowo weryfikuje stan połączenia z witryną oraz autentyczność żądań do zdalnego punktu zarządzania w instalacjach WordPress Multisite. Umożliwia to nieuwierzytelnionym atakującym powiązanie własnego klucza, przejęcie sesji administratora i przejęcie całej sieci, prowadząc do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko jest krytyczne: atakujący może uzyskać pełną kontrolę nad całą siecią Multisite, co może prowadzić do całkowitej kompromitacji wszystkich witryn i danych w niej zawartych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki InfiniteWP Client do wersji 1.13.6 lub nowszej, która zawiera poprawkę zabezpieczającą przed tym atakiem.
Inne podatności w InfiniteWP Client
Zobacz wszystkie- CVE-2026-17576Średnie
Wtyczka InfiniteWP Client dla WordPressa w wersjach do 1.13.9 włącznie jest podatna na wstrzyknięcie SQL poprzez akcję get_comments. Wynika to z niewystarczającego escapowania nazw kluczy tablicy dostarczonych w ciele żądania JSON przed użyciem w zapytaniu SQL, co umożliwia uwierzytelnionemu atakującemu z uprawnieniami administratora dołączenie dodatkowych zapytań SQL i wyodrębnienie poufnych informacji z bazy danych.
- CVE-2026-74011Wysokie
Podatność na wstrzykiwanie SQL w revmakx InfiniteWP Client umożliwia ślepe wstrzykiwanie SQL. Problem dotyczy wersji od n/a do 1.13.9.
Oryginalny opis (angielski, źródło NVD)
The InfiniteWP Client WordPress plugin before 1.13.6 does not properly verify the site-connection state and the authenticity of requests to its remote-management endpoint on WordPress Multisite installations, allowing unauthenticated attackers to bind their own key, hijack an administrator session, and take over the entire network, leading to remote code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS