Wtyczka Descope dla WordPress: obejście uwierzytelniania (CVE-2026-110959)
Opublikowano podatność CVE-2026-110959 (CVSS 9.8) we wtyczce Descope dla WordPress. Wtyczka nie weryfikuje tokenu uwierzytelniającego przed utworzeniem sesji WordPress i akceptuje dowolny niepusty token.
Sprawdzane w Shield: nie
Kogo dotyczy
Strony WordPress z wtyczką Descope w wersji poniżej 1.2.0. Nieuwierzytelniony atakujący może uzyskać sesję dowolnego istniejącego konta, także administratora, podając jego adres email.
Jak sprawdzić u siebie
W panelu WordPress otwórz stronę Wtyczki i znajdź Descope. Jeśli zainstalowana wersja jest niższa niż 1.2.0, strona jest podatna.
Jak naprawić
Poprawka jest dostępna w wersji 1.2.0. Zaktualizuj wtyczkę do wersji 1.2.0 lub nowszej.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacje o wykorzystaniu podatności w rzeczywistych atakach nie zostały jeszcze ujawnione. Źródło: wpis NVD dla CVE-2026-110959.
