Уразливість захоплення облікового запису в плагіні Wishlist Member для WordPress (CVE-2026-12949)

Що відомо

Плагін Wishlist Member для WordPress версій до 3.34.1 включно має критичну уразливість, що дозволяє неавторизованим зловмисникам захопити будь-який обліковий запис, включно з адміністраторами. Проблема полягає у недостатній перевірці автентичності даних під час реєстрації, що дає змогу змінювати облікові дані користувачів без сповіщень.

Бізнес-вплив

Ця уразливість може призвести до повного контролю над сайтом WordPress, оскільки зловмисник може змінити ім'я користувача, пароль, електронну пошту та інші дані адміністративного облікового запису. Це створює серйозні ризики для безпеки, включно з несанкціонованим доступом до конфіденційної інформації та можливістю подальших атак на інфраструктуру.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна Wishlist Member від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до функцій реєстрації, ретельно перевірити журнали доступу на ознаки зловмисної активності та зменшити мережеву експозицію сайту. Також варто перевірити цілісність облікових записів адміністратора. DataHouse підтримує перевірку версій плагінів та допомагає у зменшенні мережевої експозиції для підвищення безпеки.

Джерела

• NVD
• Reference
• Reference