Плагін Descope для WordPress: обхід автентифікації (CVE-2026-110959)
У плагіні Descope для WordPress знайдено вразливість CVE-2026-110959 (CVSS 9.8). Плагін не перевіряє токен автентифікації перед створенням сесії WordPress і приймає будь-який непорожній токен.
Перевіряється в Shield: ні
Кого стосується
Сайти на WordPress із плагіном Descope версії нижче 1.2.0. Неавторизований атакувальник може отримати сесію будь-якого наявного користувача, зокрема адміністратора, вказавши його email.
Як перевірити в себе
В адмінпанелі WordPress відкрийте розділ «Плагіни» та знайдіть Descope. Якщо встановлена версія нижче 1.2.0, сайт вразливий.
Як виправити
Виправлення випущено: версія 1.2.0. Оновіть плагін до 1.2.0 або новішої.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Даних про експлуатацію вразливості в реальних атаках поки немає. Джерело: запис NVD для CVE-2026-110959.
