CVE-2026-12981: Brak uwierzytelniania w wtyczce CAFEHAUS API WordPress umożliwia przejęcie kont

Co wiadomo

Wtyczka CAFEHAUS API dla WordPress w wersji do 1.0.0 nie wymaga uwierzytelniania ani autoryzacji przy aktualizacji haseł użytkowników, co pozwala nieautoryzowanym atakującym na zmianę hasła dowolnego użytkownika, w tym administratorów, i przejęcie ich kont.

Wpływ biznesowy

Naruszenie tej luki umożliwia atakującym pełną kontrolę nad kontami użytkowników WordPress, w tym kontami administratorów, co może prowadzić do całkowitego przejęcia serwisu, utraty danych oraz zakłóceń w działaniu witryny. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo zabezpieczyć swoje środowiska.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki CAFEHAUS API i jej instalację, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji zmiany haseł, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt kont użytkowników i wymusić zmianę haseł po zabezpieczeniu systemu.

Źródła

• NVD
• Reference