CVE-2026-14378: Błąd uwierzytelniania w wtyczce DevKit Pro dla WordPress umożliwiający przejęcie konta administratora

Co wiadomo

Wtyczka DevKit Pro dla WordPress do wersji 2.3.0 włącznie posiada krytyczną lukę pozwalającą na ominięcie uwierzytelniania. Atakujący może wykorzystać manipulację ciasteczkiem 'original_user_id' i publicznie dostępnym tokenem nonce, aby uzyskać pełne uprawnienia administratora i przejąć kontrolę nad stroną.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką DevKit Pro, umożliwiając nieautoryzowany dostęp na poziomie administratora. Może to prowadzić do całkowitego przejęcia witryny, utraty danych, deface'u lub wykorzystania zasobów serwera do dalszych ataków. Wysoki poziom CVSS 9.8 wskazuje na krytyczność problemu i konieczność szybkiego działania.

Rekomendowane działania administratora

Zaleca się niezwłoczne zweryfikowanie wersji wtyczki DevKit Pro i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i weryfikację kopii zapasowych. DataHouse wspiera weryfikację wersji i monitorowanie bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference