CVE-2026-93757

Wtyczka Wild Apricot Login do WordPressa jest podatna na obejście uwierzytelnienia poprzez powiązanie konta kolizyjnego SSO we wszystkich wersjach aż do 1.0.18 włącznie. Gdy nie zostanie znalezione mapowanie contact-ID WildApricot dla przychodzącego logowania SSO, wtyczka powróci do globalnego wyszukiwania sieciowego `get_user_by('email', ...)` w `Module.php` w celu rozpoznania użytkownika WordPress, następnie `UserSynchronizer::syncWaContact()` wiąże się, a `Controller::login()` generuje plik cookie sesji poprzez `wp_set_auth_cookie()` dla tego rozwiązanego użytkownika — oba chronione jedynie przez `is_super_admin()` — bez konieczności posiadania dowodu własności dopasowanego konta WordPress, takiego jak hasło, potwierdzenie połączenia konta lokalnego, weryfikacja skrzynki odbiorczej lub zatwierdzenie administratora. Dzięki temu osoby atakujące z niestandardowym dostępem do członkostwa WildApricot mogą uwierzytelnić się jako istniejący administrator podstrony WordPress w wielostanowiskowej sieci opartej na ścieżkach i uzyskać dla ofiary ważny plik cookie uwierzytelniający w skali globalnej sieci bez jej poświadczeń. Eksploatacja wymaga, aby osoba atakująca kontrolowała kontakt WildApricot, którego adres e-mail jest zgodny z adresem e-mail docelowego administratora WordPress – można to osiągnąć za pośrednictwem publicznej aplikacji członkowskiej o zerowej opłacie w połączonej organizacji WildApricot – i aby osoba atakująca wykonała proces logowania jednokrotnego na dowolnej podstronie, na której aktywne jest logowanie Wild Apricot; ponieważ tożsamości użytkowników WordPress i pliki cookie uwierzytelniające mają charakter globalny, plik cookie wydany na tej podwitrynie jest równie ważny na każdej innej podwitrynie, w której użytkownik będący ofiarą pełni rolę administratora.