CVE-2026-105894
Mở trang đầy đủCVSS 8.8 HIGH Truy cập trái phép
Ak Framework <= 2.9.8 - Authenticated (Subscriber+) Missing Authorization to Arbitrary Options Update
Mô tả
The Ak Framework plugin for WordPress, included in the Newsy - Viral News & Magazine WordPress Theme, is vulnerable to Privilege Escalation in all versions up to, and including, 2.9.8. This is due to missing capability checks in the ajax_refresh_nonce and ak_admin_ajax handlers before passing attacker-controlled option names and values to update_option(). This makes it possible for unauthenticated attackers to update arbitrary WordPress options including users_can_register and default_role to escalate privileges to administrator by enabling user registration with administrator as the default role.
Điểm và phân loại
- CVSS
- 8.8 HIGH v3.1
- Nguồn điểm
- NVD
- Mức độ (theo nguồn)
- HIGH
- EPSS
- —
- CWE
- CWE-269
Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Ảnh hưởng
Sản phẩm
- akbilisim Ak Framework
Vì sao được giữ
- CVSS 8.8 >= 8.0
Loại tác động
- Truy cập trái phép
- CWE-269; từ khoá "missing authorization"; từ khoá "privilege escalation"; từ khoá "escalate privileges"
Dữ liệu riêng của nguồn
- CVE.org · Đơn vị cấp mã
- Wordfence
- CVE.org · SSVC
- Tự động hoá được: no · Khai thác: none · Tác động kỹ thuật: total