WHIZZ: захоплення акаунтів через скидання пароля (CVE-2026-115230)
У WordPress-плагіні WHIZZ знайдено вразливість CVE-2026-115230 (CVSS 9.8). Плагін не перевіряє ключ скидання пароля перед зміною пароля й спирається лише на nonce, доступний неавторизованим відвідувачам.
Перевіряється в Shield: ні
Кого стосується
Сайти на WordPress із плагіном WHIZZ версії до 1.1.8 включно. Зловмисник може встановити довільний пароль будь-якому користувачу, зокрема адміністратору, і захопити акаунт.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни» та перевірте, чи встановлено WHIZZ і яка в нього версія. Версія 1.1.8 і нижче вразлива.
Як виправити
Виправлену версію в джерелі не вказано. Якщо WHIZZ не потрібен, вимкніть і видаліть його. Якщо потрібен, стежте за виходом оновлення та встановіть його одразу після появи.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Виправлена версія та дані про експлуатацію вразливості поки не розкриті. Джерело: NVD.
