CVE-2026-7459: Przejęcie konta wtyczki Simple History dla WordPress

Co wiadomo

Wtyczka Simple History dla WordPress do wersji 5.26.0 jest podatna na przejęcie konta przez użytkownika z uprawnieniami Subskrybenta (Subscriber+). Luka umożliwia odczytanie pełnych danych zdarzeń, w tym linków do resetowania haseł administratorów, co pozwala na przejęcie konta administratora, jeśli włączono funkcję eksperymentalną.

Wpływ biznesowy

Atakujący z poziomu konta subskrybenta może uzyskać dostęp do poufnych informacji, takich jak linki do resetowania haseł administratorów, co prowadzi do przejęcia konta o wysokich uprawnieniach. Może to skutkować pełnym kompromisem witryny WordPress, utratą danych i przerwami w działaniu usług. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako krytyczną i działać szybko, aby ograniczyć ryzyko.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować, czy używają wtyczki Simple History w wersji do 5.26.0 oraz czy funkcja eksperymentalna jest włączona. Zaleca się aktualizację do najnowszej wersji wtyczki po wydaniu poprawki przez producenta. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanych aktywności związanych z resetowaniem haseł. Przegląd i wzmocnienie polityk dostępu oraz audyt uprawnień użytkowników również są wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference