WHIZZ: захват аккаунтов через сброс пароля (CVE-2026-115230)
В WordPress-плагине WHIZZ найдена уязвимость CVE-2026-115230 (CVSS 9.8). Плагин не проверяет ключ сброса пароля перед сменой пароля и опирается только на nonce, доступный неавторизованным посетителям.
Проверяется в Shield: нет
Кого касается
Сайты на WordPress с плагином WHIZZ версии до 1.1.8 включительно. Атакующий может задать произвольный пароль любому пользователю, включая администратора, и захватить аккаунт.
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и проверьте, установлен ли WHIZZ и какая у него версия. Версия 1.1.8 и ниже затронута.
Как исправить
Исправленная версия в источнике не указана. Если WHIZZ не нужен, отключите и удалите его. Если нужен, следите за выходом обновления и установите его сразу после появления.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Исправленная версия и данные об эксплуатации уязвимости пока не раскрыты. Источник: NVD.
