Плагин Descope для WordPress: обход аутентификации (CVE-2026-110959)
В плагине Descope для WordPress найдена уязвимость CVE-2026-110959 (CVSS 9.8). Плагин не проверяет токен аутентификации перед созданием сессии WordPress и принимает любой непустой токен.
Проверяется в Shield: нет
Кого касается
Сайты на WordPress с плагином Descope версии ниже 1.2.0. Неавторизованный атакующий может получить сессию любого существующего пользователя, включая администратора, указав его email.
Как проверить у себя
В админ-панели WordPress откройте раздел «Плагины» и найдите Descope. Если установлена версия ниже 1.2.0, сайт уязвим.
Как исправить
Исправление выпущено: версия 1.2.0. Обновите плагин до 1.2.0 или новее.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об эксплуатации уязвимости в реальных атаках пока нет. Источник: запись NVD для CVE-2026-110959.
