Plugin BuddyForms cho phép chiếm quyền quản trị mà không cần đăng nhập
Mã định danh: CVE-2026-107622
- Xuất bản
- Thay đổi nội dung gần nhất
- Xác minh gần nhất
Xác minh gần nhất: . Mục cần chú ý được xác minh lại trong vòng 72 giờ.
Tóm tắt
Wordfence công bố CVE-2026-107622 ngày 5 tháng 11 năm 2026 trong plugin WordPress BuddyForms, ảnh hưởng phiên bản 2.10.5 trở xuống. Phiên bản 2.10.6 đã vá; readme của nhà phát triển ngày 19 tháng 10 năm 2026 liệt kê các sửa lỗi bảo mật tương ứng.
Tác động
Kẻ tấn công không cần đăng nhập có thể tạo cấu hình biểu mẫu giả, đăng ký tài khoản Administrator mới và chiếm quyền kiểm soát website.
Ai bị ảnh hưởng
Chỉ website chạy BuddyForms 2.10.5 trở xuống đồng thời bật tùy chọn Anyone can register của WordPress và có ít nhất một biểu mẫu BuddyForms công khai gắn vào trang. Các website WordPress khác không bị ảnh hưởng bởi lỗi này.
Sản phẩm và phiên bản
| Sản phẩm và phiên bản | Bị ảnh hưởng | Đã sửa |
|---|---|---|
| BuddyForms | <= 2.10.5 | 2.10.6 |
Bằng chứng khai thác
Chưa xác lập việc khai thác. Các nguồn xem ngày 6 tháng 11 năm 2026 chưa xác lập khai thác thực tế. Lỗi không cần đăng nhập nên website thuộc diện ảnh hưởng cần cập nhật sớm.
Việc cần làm
- Sao lưu, kiểm tra tương thích, rồi cập nhật BuddyForms lên 2.10.6 hoặc bản vá mới hơn.
- Nếu chưa cập nhật được, nhờ nhà cung cấp tạm vô hiệu hóa đường gửi biểu mẫu hoặc đăng ký công khai bị lỗi và xác nhận ảnh hưởng tới hoạt động; đây không phải cách khắc phục bảo đảm.
- Rà soát tài khoản Administrator và tài khoản mới gần đây cùng cấu hình biểu mẫu lạ, lưu giữ nhật ký và xử lý sự cố nếu phát hiện. Cập nhật không xóa tài khoản đã bị tạo trước đó.
Điều chưa rõ
- Ngày công bố 5 tháng 11 sau ngày vá 19 tháng 10; riêng bản tin không thể cho biết website có bị xâm nhập trước đó hay không.
- Các nguồn đã xem chưa xác lập khai thác thực tế, nhưng điều đó không đồng nghĩa không có.
Nguồn
- Wordfence Intelligence https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/buddyforms/buddyforms-2105-unauthenticated-privilege-escalation-to-form-type-confusion-via-bf-post-type-parameter
- Themekraft / WordPress.org https://plugins.svn.wordpress.org/buddyforms/trunk/readme.txt
Lịch sử thay đổi
- — Xuất bản: Thêm ngày 6 tháng 11 năm 2026 dựa trên bản tin Wordfence ngày 5 tháng 11 năm 2026 và readme 2.10.6 của nhà phát triển.