CVE-2026-80099

Resumen

Varios plugins nuevos de Newfold son vulnerables a la omisión de autenticación. La vulnerabilidad existe porque los plugins incluyen el módulo wp-module-data. En el módulo, el método `authenticate()` — registrado en el filtro `rest_authentication_errors` y, por lo tanto, evaluado para cada solicitud no autenticada a la API REST — realiza una comparación de token Bearer al estilo HMAC que degenera cuando `HiiveConnection::get_auth_token()` devuelve `false`: PHP convierte `strrev(false)` en `strrev('')`, lo que reduce la sal secreta a la constante públicamente conocida `hash('sha256', '') = e3b0c44...`, mientras que todas las demás entradas del hash (método HTTP, URL de la solicitud, cuerpo sin procesar de la solicitud y el encabezado `X-Timestamp`) permanecen totalmente controladas por el atacante. Esto hace posible que atacantes no autenticados calculen un token Bearer válido completamente sin conexión, superen la comprobación de igualdad del token y provoquen que se invoque `wp_set_current_user()` contra el primer administrador devuelto por `get_users(['role' => 'administrator'])`, lo que otorga acceso completo a nivel de administrador y permite operaciones arbitrarias en la API REST, como crear nuevas cuentas de administrador y lograr la toma de control total del sitio. Las versiones vulnerables son WP Plugin Crazy Domains (<= 2.5.2), WP Plugin Web (<= 2.3.4), WP Plugin Hostgator (<= 3.1.0), WP Plugin Bluehost (<= 4.17.1). El módulo afectado es vulnerable en versiones hasta la 2.9.4, inclusive.

• CVE-2026-80099PoC

  Complementos de Newfold (wp-module-data <= 2.9.7) No autenticado