Uncanny Toolkit za LearnDash: propust omogućava prijavu na suspendovane naloge uz poznatu lozinku

Šta se desilo?

U WordPress dodatku Uncanny Toolkit for LearnDash potvrđen je propust CVE-2026-119096. Omogućava prijavu na neodobrene ili administratorski suspendovane naloge čije kredencijale napadač već zna. Tvrdnja da omogućava prijavu bez lozinke nije tačna. Wordfence mu dodeljuje CVSS 3.1 ocenu 9,8 (Critical).

Koga pogađa?

Pogođene su verzije dodatka do uključujući 3.8.2, naročito sajtovi koji se oslanjaju na njegove kontrole odobravanja i suspenzije naloga. Ovo nije potvrda ranjivosti samog LearnDash proizvoda niti automatskog dobijanja administratorskih prava.

Kako se zaštititi?

• Ažurirajte Uncanny Toolkit for LearnDash na 3.8.3 ili novije zakrpljeno izdanje.
• Ako ažuriranje nije moguće, privremeno onemogućite pogođeni dodatak i procenite uticaj na prijavljivanje.
• Pregledajte uspešne prijave naloga koji su bili suspendovani ili čekali odobrenje.
• Kod sumnje na zloupotrebu opozovite sesije i promenite lozinke pogođenih naloga.
• Nakon ažuriranja proverite da neodobreni i suspendovani nalozi zaista ne mogu da se prijave.

Tehnički detalji

Funkcija uo_login_action() različito obrađuje identifikator naloga u proveri njegovog statusa i u kasnijoj WordPress autentifikaciji. Zbog toga provera odobravanja može biti preskočena, dok se nalog zatim autentifikuje važećim kredencijalima. Wordfence potvrđuje zakrpu 3.8.3. Provereni zapis ne potvrđuje aktivnu eksploataciju.

Zašto je važno?

Suspenzija naloga treba da blokira pristup i kada neko zna ispravnu lozinku. Ovaj propust narušava upravo tu kontrolu, što je važno za platforme sa kursevima i ograničenim pristupom.