CVE-2026-15038: Luka w InfiniteWP Client umożliwia przejęcie sieci WordPress Multisite

Co wiadomo

Wtyczka InfiniteWP Client dla WordPress w wersjach przed 1.13.6 nieprawidłowo weryfikuje stan połączenia i autentyczność żądań na instalacjach WordPress Multisite. Pozwala to nieautoryzowanym atakującym na podpięcie własnego klucza, przejęcie sesji administratora i kontrolę nad całą siecią, co może skutkować zdalnym wykonaniem kodu.

Wpływ biznesowy

Atakujący mogą przejąć pełną kontrolę nad siecią WordPress Multisite, co zagraża integralności i dostępności serwisu oraz danych. Może to prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych i przerw w działaniu usług, wpływając negatywnie na reputację i operacje biznesowe.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie i aktualizację wtyczki InfiniteWP Client do wersji 1.13.6 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do punktu zarządzania zdalnego i monitoruj logi pod kątem podejrzanych aktywności. Warto również zweryfikować konfigurację sieci WordPress Multisite pod kątem potencjalnych luk. DataHouse wspiera weryfikację wersji oprogramowania i monitorowanie bezpieczeństwa środowiska CMS.

Źródła

• NVD
• Reference