CVE-2026-16300: Luka w wtyczce ChamaWP WordPress umożliwiająca reset hasła bez uwierzytelnienia

Co wiadomo

Wtyczka ChamaWP dla WordPressa w wersjach przed 1.0.13 nieprawidłowo weryfikuje żądania resetu hasła, co pozwala nieautoryzowanym atakującym na zresetowanie haseł dowolnych użytkowników, w tym administratorów. Może to skutkować przejęciem pełnej kontroli nad stroną.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania dostępu do kont administracyjnych, co zagraża integralności i dostępności serwisu. Może to prowadzić do utraty danych, deface'u strony lub wykorzystania zasobów serwera do dalszych ataków. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo podejść do jej załatania.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki ChamaWP do wersji 1.0.13 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji resetu hasła oraz monitoruj logi pod kątem podejrzanych działań. Przeglądaj uprawnienia użytkowników i rozważ wymuszenie zmiany haseł. DataHouse wspiera weryfikację wersji oprogramowania i zarządzanie aktualizacjami w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference