WHIZZに管理者乗っ取りの脆弱性、修正版は未確認
Summary
WordPressプラグインWHIZZの1.1.8以前に、認証なしで任意ユーザーのパスワードを書き換えられる脆弱性があります。修正版は確認されていないため、使っているサイトはプラグインを無効化し、管理者アカウントに異常がないか調べてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
WordPressプラグインWHIZZの1.1.8以前に、認証なしで任意ユーザーのパスワードを書き換えられる脆弱性があります。修正版は確認されていないため、使っているサイトはプラグインを無効化し、管理者アカウントに異常がないか調べてください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| CVE の記録WHIZZ |
≤ 1.1.8→ Not listed |
Not listed |
This record does not list fixed versions. Check the article or the vendor advisory in the references for whether and where it is fixed.
Original description The description as published by the source.
The WHIZZ WordPress plugin through 1.1.8 does not validate the password-reset key before updating a user's password, relying only on a nonce that is exposed to unauthenticated visitors, allowing attackers to set an arbitrary password for any user, including administrators, and fully take over their accounts.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com