Már kihasználják a WordPress egyik hibáját, külön bővítményt is érint veszély
A CISA szerint már kihasználják a WordPress egyik sérülékenységét, amely a rendszer frissítése közben adhat lehetőséget támadásra. Egy másik hiba a Security For WooCommerce bővítményt érinti: ezen keresztül bejelentkezés nélkül is létrehozható adminisztrátori fiók.
Fejlemény
Előzményünk (2026. november 4.): A CISA szerint már kihasználják a WordPress egyik szerveroldali hibáját
Fontos
Aktívan kihasznált, kritikus: CVSS 9.8
A WordPress frissítése közben támadható a szerver
A CVE-2026-119977 azonosítójú hiba a WordPress 4.7-től a 7.1.3-ig terjedő verzióit érinti. A teljes csomagos rendszerfrissítés során használt, interneten elérhető ideiglenes útvonalak kiszámíthatók. Emiatt egy be nem jelentkezett támadó a frissítés rövid időtartama alatt távolról kódot futtathat a szerveren.
A hibát a WordPress 7.1.4 javítja. A CISA november 3-án felvette a ténylegesen kihasznált sérülékenységek listájára, ezért az érintett WordPress-telepítéseket mielőbb érdemes frissíteni.
Adminisztrátori fiókot hozhat létre a bővítmény hibája
A másik sérülékenység nem a WordPress magját, hanem a Security For WooCommerce bővítmény 1.0.10 és 1.0.16 közötti verzióit érinti. A CVE-2026-100109 azonosítójú hiba miatt egy be nem jelentkezett látogató számára is elérhető felhasználólétrehozási művelet nem ellenőrzi a jogosultságokat.
A műveletet meghívó személy az új fiók szerepkörét is kiválaszthatja. Egy támadó így adminisztrátori fiókot hozhat létre, és átveheti az irányítást a weboldal felett. A forrás nem ad meg javított bővítményverziót.
A súlyossági pontszám nem bizonyítja a kihasználást
A bővítmény hibájának CVSS-pontszáma 9,8, ami kritikus műszaki súlyosságot jelez. A WordPress magját érintő sérülékenység pontszáma 8,1, ami magas súlyosságú besorolásnak felel meg.
A CVSS a hiba műszaki súlyosságát méri, nem azt, hogy kihasználják-e. A CISA listáján a két hiba közül a WordPress magját érintő sérülékenység szerepel.
Az ügy eddig
- A CISA szerint már kihasználják a WordPress egyik szerveroldali hibáját
- Már kihasználják a WordPress egyik hibáját, külön bővítményt is érint veszély (ez a cikk)
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum