CVE-2026-14378

Resumo

O plugin DevKit Pro para WordPress é vulnerável a Bypass de Autenticação que Leva à Tomada de Conta de Administrador em todas as versões até, e incluindo, a 2.3.0. Isso ocorre porque o manipulador `revert_switch` confia no cookie `original_user_id` controlado pelo atacante como a identidade privilegiada: `verify_nonce_and_capability()` verifica incorretamente a capacidade `manage_options` no usuário identificado pelo cookie em vez de no solicitante real via `current_user_can()`, enquanto o formulário de retorno e um nonce válido vinculado à sessão são emitidos publicamente via `wp_footer` para qualquer visitante — incluindo usuários não autenticados — sempre que esse cookie estiver presente. Isso torna possível para atacantes não autenticados definir o cookie `original_user_id` para o ID de usuário de qualquer administrador, coletar o nonce renderizado e enviá-lo de volta ao manipulador `revert_switch`, fazendo com que `wp_set_auth_cookie()` seja chamado com o ID do administrador e concedendo ao atacante uma sessão autenticada com nível de administrador completo e a tomada de controle total do site.

Fontes

• CVE-2026-19660PoC

  Scanner PoC em Python e exploit para CVE-2026-14378, uma tomada de sessão de administrador pré-autenticação no plugin WordPress DevKit Pro através de cookie original_user_id forjado.