CVE-2026-5523: Krytyczna luka w Divi Form Builder dla WordPress umożliwiająca przejęcie konta

Co wiadomo

Wtyczka Divi Form Builder dla WordPress do wersji 5.1.8 posiada lukę brakującej autoryzacji, która pozwala uwierzytelnionym użytkownikom na poziomie subskrybenta i wyższym zmieniać adresy e-mail i hasła dowolnych kont, w tym administratorów. Luka wynika z nieweryfikowania uprawnień podczas aktualizacji danych użytkownika.

Wpływ biznesowy

Atakujący mogą przejąć pełną kontrolę nad kontami użytkowników, w tym administratorów, co stwarza poważne ryzyko dla bezpieczeństwa witryny i danych. Może to prowadzić do nieautoryzowanych zmian, wycieku informacji oraz potencjalnego przejęcia całej infrastruktury WordPress. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo ją zaadresować.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Divi Form Builder i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do formularzy oraz monitorować logi pod kątem podejrzanych zmian kont użytkowników. Warto również przeprowadzić audyt uprawnień użytkowników i rozważyć tymczasowe podniesienie wymagań autoryzacyjnych dla funkcji aktualizacji użytkowników.

Źródła

• NVD
• Reference
• Reference