CVE-2026-109400

InstaWP Connect — wtyczka WP Staging & Migration do WordPressa dostępna jednym kliknięciem jest podatna na eskalację uprawnień we wszystkich wersjach aż do 0.1.4.1 włącznie. Dzieje się tak dlatego, że wtyczka rejestruje swoją stronę administracyjną za pośrednictwem `add_management_page()` przy użyciu nazwy roli zwróconej przez `InstaWP_Setting::get_allowed_role()` jako wymaganej możliwości — którą WordPress rozpoznaje jako rzeczywiste dopasowanie możliwości dla dowolnego użytkownika pełniącego tę rolę — w połączeniu z funkcją „generate_section_field()” renderującą główny klucz API z opcji „instawp_api_options” bezpośrednio jako atrybut „value” wejściowego kodu HTML w postaci zwykłego tekstu, bez dodatkowej opcji „manage_options” lub równoważnego sprawdzania możliwości. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym odczytanie głównego klucza API w postaci zwykłego tekstu, użycie jego sekretu wywodzącego się z SHA-256 jako tokena nośnika akceptowanego przez interfejs API REST wtyczki „validate_api_request()” i wywołanie polecenia „POST /wp-json/instawp-connect/v2/auto-login” w celu wygenerowania 30-sekundowego jednorazowego adresu URL logowania, który ustawia plik cookie uwierzytelniania administratora — pełną eskalację ich przywilejów. Eksploatacja wymaga aktywnego połączenia witryny z InstaWP i dodania przez administratora roli atakującego do listy dostępu do karty Sync wtyczki (`instawp_sync_tab_roles`); w szczególności logika pomijania karty ustawień ukrywa ją tylko wtedy, gdy „administrator” jest całkowicie nieobecny na liście, co oznacza, że ​​mieszana konfiguracja zachowująca administratora i niższą rolę nadal udostępnia stronę pełnych ustawień – łącznie z kluczem API – użytkownikowi o niższych uprawnieniach.