CVE-2026-7761: Luka wtyczki Ultimate Member dla WordPress umożliwiająca przejęcie konta przez wyciek linków do resetu hasła

Co wiadomo

Wtyczka Ultimate Member dla WordPress do wersji 2.11.4 zawiera trzy błędy logiczne, które pozwalają atakującemu z uprawnieniami Contributor lub wyższymi na wyciek linków do resetu hasła użytkowników, w tym administratorów. Luka umożliwia stworzenie złośliwego wpisu i uzyskanie dostępu do linków resetujących hasło poprzez manipulację mechanizmem AJAX.

Wpływ biznesowy

Atakujący mogą przejąć konta użytkowników, w tym administratorów, co prowadzi do poważnych naruszeń bezpieczeństwa i potencjalnej utraty kontroli nad stroną WordPress. Incydent może skutkować utratą danych, przerwami w działaniu serwisu oraz uszkodzeniem reputacji firmy. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i działać szybko, aby ograniczyć potencjalne szkody.

Rekomendowane działania administratora

Zaleca się natychmiastową weryfikację dostępności aktualizacji wtyczki Ultimate Member i ich wdrożenie. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji XMLRPC. Warto również przeprowadzić przegląd kont użytkowników i wymusić reset haseł, jeśli istnieje podejrzenie naruszenia.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference