WHIZZ: przejęcie kont przez reset hasła (CVE-2026-115230)
W wtyczce WHIZZ dla WordPressa wykryto podatność CVE-2026-115230 (CVSS 9.8). Wtyczka nie weryfikuje klucza resetu hasła przed zmianą hasła i opiera się tylko na nonce dostępnym dla niezalogowanych odwiedzających.
Sprawdzane w Shield: nie
Kogo dotyczy
Strony WordPress z wtyczką WHIZZ w wersji do 1.1.8 włącznie. Atakujący może ustawić dowolne hasło dla dowolnego użytkownika, w tym administratora, i przejąć konto.
Jak sprawdzić u siebie
W panelu WordPress otwórz stronę Wtyczki i sprawdź, czy WHIZZ jest zainstalowany i w jakiej wersji. Wersja 1.1.8 i starsze są podatne.
Jak naprawić
Źródło nie podaje poprawionej wersji. Jeśli nie potrzebujesz WHIZZ, dezaktywuj i usuń wtyczkę. Jeśli jej używasz, śledź aktualizacje i zainstaluj poprawkę zaraz po wydaniu.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Poprawiona wersja i dane o wykorzystaniu podatności nie zostały jeszcze ujawnione. Źródło: NVD.
