CVE-2026-80099

Резюме

Несколько плагинов Newfold уязвимы к обходу аутентификации. Уязвимость существует, поскольку плагины включают в себя модуль wp-module-data. В модуле метод `authenticate()`, зарегистрированный на фильтре `rest_authentication_errors` и, следовательно, вычисляемый для каждого неаутентифицированного запроса к REST API, выполняет сравнение Bearer-токена в стиле HMAC, которое вырождается, когда `HiiveConnection::get_auth_token()` возвращает `false`: PHP приводит `strrev(false)` к `strrev('')`, сводя секретную соль к публично известной константе `hash('sha256', '') = e3b0c44...`, в то время как все остальные входные данные хеша (HTTP-метод, URL запроса, необработанное тело запроса и заголовок `X-Timestamp`) остаются полностью контролируемыми атакующим. Это делает возможным для неаутентифицированных атакующих вычислить действительный Bearer-токен полностью офлайн, пройти проверку равенства токенов и вызвать `wp_set_current_user()` для первого администратора, возвращённого `get_users(['role' => 'administrator'])`, что предоставляет полный доступ уровня администратора и позволяет выполнять произвольные операции через REST API, такие как создание новых учётных записей администратора и полный захват сайта. Уязвимые версии: WP Plugin Crazy Domains (<= 2.5.2), WP Plugin Web (<= 2.3.4), WP Plugin Hostgator (<= 3.1.0), WP Plugin Bluehost (<= 4.17.1). Затронутый модуль уязвим в версиях до 2.9.4 включительно.

• CVE-2026-80099PoC

  Плагины Newfold (wp-module-data <= 2.9.7) без аутентификации