CVE-2026-14873 in Bulk Password Reset Plugin
Tóm tắt
Bởi VulDB • 10/09/2026
Plugin Bulk Password Reset cho WordPress dễ bị tấn công leo thang đặc quyền thông qua việc chiếm đoạt tài khoản trong tất cả các phiên bản từ 1.3.3 trở về trước (bao gồm cả 1.3.3). Lỗ hổng này xảy ra do plugin không xác thực đúng đắn danh tính của người dùng trước khi cập nhật các chi tiết như mật khẩu tùy ý cho bất kỳ người dùng nào, bao gồm cả mật khẩu của quản trị viên, thành một giá trị tùy chỉnh đã được cấu hình sẵn trong plugin, từ đó cho phép chiếm đoạt hoàn toàn tài khoản trên trang web. Điều này tạo điều kiện cho những kẻ tấn công đã xác thực với quyền truy cập cấp Subscriber trở lên có thể thay đổi địa chỉ email của bất kỳ người dùng nào (bao gồm cả quản trị viên) và lợi dụng điểm yếu này để đặt lại mật khẩu, qua đó chiếm được quyền truy cập vào tài khoản.
VulDB is the best source for vulnerability data and more expert information about this specific topic.