CVE-2026-103646 in Ultimate Multisite Plugin
Сводка
по VulDB • 08.10.2026
В плагине для WordPress The Ultimate Multisite до версии 2.17.0 не требуется аутентификация перед тем, как процесс оформления заказа (checkout) в режиме «неавторизованный пользователь» будет связан с существующим аккаунтом WordPress, соответствующим отправленному адресу электронной почты; при этом проверка на дублирование аккаунтов нормализует этот адрес иначе, чем поиск используется для создания клиента. В результате неаутентифицированный злоумышленник может войти в систему как любой существующий пользователь, включая Super Admin сети (Network Super Admin), чей адрес электронной почты ему известен.
Эта уязвимость обходит исправление CVE-2026-75957, внедренное в версии 2.15.1, и остается эксплуатируемой во всех версиях вплоть до 2.16.1 включительно — тех релизов, для которых это исправление должно было применяться. Для эксплуатации требуется форма оформления заказа, настроенная без поля пароля (с автоматической генерацией пароля), а также целевой аккаунт, не имеющий существующей записи клиента в плагине The Ultimate Multisite для WordPress до версии 2.17.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.