CVE-2026-75957: Krytyczna luka uwierzytelniania w wtyczce Ultimate Multisite dla WordPress

Co wiadomo

Wtyczka Ultimate Multisite – WordPress Multisite SaaS & WaaS Platform do wersji 2.15.0 zawiera krytyczną lukę umożliwiającą pominięcie uwierzytelniania poprzez manipulację parametrem checkout_form w funkcji login_customer_after_checkout. Atakujący może zalogować się jako dowolny istniejący użytkownik WordPress, w tym Super Administrator sieci, znając jedynie adres e-mail ofiary.

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp do kont użytkowników WordPress, co może skutkować przejęciem kontroli nad witryną, eskalacją uprawnień oraz potencjalnym naruszeniem danych. W przypadku instalacji multisite, zagrożone są również konta administratorów i redaktorów utworzone przed konfiguracją Ultimate Multisite. Atak może prowadzić do poważnych konsekwencji biznesowych, w tym utraty zaufania klientów i przerw w działaniu usług.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ultimate Multisite i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji AJAX wykorzystywanych przez wtyczkę, przeprowadzić przegląd logów pod kątem podejrzanych logowań oraz zweryfikować konta użytkowników pod kątem nieautoryzowanych zmian. Warto również rozważyć ograniczenie ekspozycji sieciowej serwisu. DataHouse wspiera weryfikację wersji oprogramowania oraz monitorowanie i ograniczanie ekspozycji sieciowej w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference