CVE-2026-103646 in Ultimate Multisite Plugin
Sumário
de VulDB • 08/10/2026
O plugin para WordPress Ultimate Multisite, nas versões anteriores à 2.17.0, não exige autenticação antes que um checkout de usuário deslogado seja vinculado e utilizado como login em uma conta existente do WordPress correspondente ao endereço de e-mail submetido. Além disso, a verificação de contas duplicadas normaliza esse endereço de forma diferente da lookup utilizada para criar o cliente, permitindo que um atacante não autenticado faça login como qualquer usuário existente, incluindo um Super Admin de Rede (Network Super Admin), cujo endereço de e-mail seja conhecido.
Esta falha de segurança não foi corrigida pela atualização 2.15.1 destinada a resolver o CVE-2026-75957 e permanece explorável em todas as versões até a 2.16.1, que eram esperadas para conter essa correção. A exploração requer um formulário de checkout configurado sem campo de senha (com geração automática de senha) e uma conta alvo que não possua registro de cliente existente no plugin Ultimate Multisite WordPress nas versões anteriores à 2.17.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.