CVE-2026-103646

Nome do Software Vulnerável e Versões Afetadas Ultimate Multisite WordPress plugin versões anteriores a 2.17.0

Description Existe uma falha de bypass de autenticação onde um checkout deslogado pode ser vinculado e logado como uma conta existente do WordPress que corresponda ao endereço de e-mail enviado. Isso ocorre porque a verificação de conta duplicada normaliza o endereço de e-mail de forma diferente da pesquisa utilizada para criar o cliente. Um invasor não autenticado pode explorar isso para logar como qualquer usuário existente, incluindo um Network Super Admin, desde que conheça o endereço de e-mail do usuário. Este problema requer um formulário de checkout configurado sem campo de senha (senhas geradas automaticamente) e uma conta alvo que não possua um registro de cliente existente no plugin.

Recommendations Atualize o Ultimate Multisite WordPress plugin para a versão 2.17.0 ou posterior.