CVE-2026-18216
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Backup Migration dla WordPressa przed wersją 2.1.7 nie ogranicza prawidłowo mechanizmu automatycznego logowania po przywróceniu kopii zapasowej. Użytkownik zarządzający jedną witryną w sieci multisite może uzyskać długotrwałą sesję uwierzytelnioną jako administrator innej witryny w tej samej sieci, bez poświadczeń i z pominięciem uwierzytelniania dwuskładnikowego.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do administracyjnych funkcji innych witryn w sieci multisite, co może prowadzić do przejęcia kontroli nad całym środowiskiem WordPress.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Backup Migration do wersji 2.1.7 lub nowszej oraz przegląd logów sesji pod kątem nieautoryzowanych logowań.
Oryginalny opis (angielski, źródło NVD)
The Backup Migration WordPress plugin before 2.1.7 does not properly restrict a post-restore automatic login mechanism, allowing a user who administers one site of a multisite network to obtain a long-lived authenticated session as an administrator of another site in the same network, without credentials and bypassing two-factor authentication.