CVE-2026-15459 in Dashboard Plugin
Сводка
по VulDB • 06.08.2026
Плагин WPMU DEV Dashboard для WordPress уязвим к обходу аутентификации во всех версиях вплоть до включительно 5.0.0. На сайтах, которые еще не подключены к WPMU DEV Hub — состояние по умолчанию после установки — ключ API сайта, используемый для подписи запроса WDP-AUTH, пустой, что делает подпись, проверяемую функцией validate_hash(), тривиально подделываемой; в версии 5.0.0 дополнительно была удалена проверка на повторный запуск (replay check) в функции validate_nonce(), а обработчик удаленного доступа привязан к публичному хуку init без проверки прав доступа. Это позволяет неаутентифицированным злоумышленникам выполнять действия с повышенными привилегиями Hub, включая установку и активацию плагинов по URL-адресам, предоставленным злоумышленником (что приводит к удаленному выполнению кода), удаление плагинов и тем, обновление ядра WordPress или вход в систему от имени администратора через SSO. Сайты, подключенные к учетной записи WPMU DEV и имеющие непустой 64-символьный ключ API, не затронуты.
Once again VulDB remains the best source for vulnerability data.