CRITICALCVE-2026-6510CVSS 9.8

CVE-2026-6510: Privilege Escalation in InfusedWoo Pro

Plattform

wordpress

Komponente

infusedwooPRO

Behoben in

5.1.3

CVE-2026-6510 represents a critical privilege escalation vulnerability affecting the InfusedWoo Pro plugin for WordPress. This flaw allows unauthenticated attackers to bypass authentication and gain control of user accounts, potentially leading to complete system compromise. The vulnerability impacts versions 0.0.0 through 5.1.2, and a fix is available in version 5.1.3.

WordPress

Erkenne diese CVE in deinem Projekt

Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.

Auswirkungen und Angriffsszenarien

The impact of CVE-2026-6510 is severe. An attacker can exploit this vulnerability by crafting a malicious URL that triggers an HTTP post and an auto-login action. Upon visiting this URL, an unauthenticated user will receive authentication cookies for a targeted user account, effectively bypassing authentication. This allows the attacker to impersonate any user, including administrators, granting them full control over the WordPress site and its data. The potential for data theft, modification, and complete site takeover is significant. This vulnerability shares similarities with other authentication bypass flaws where improper nonce verification and capability checks are present.

Ausnutzungskontext

CVE-2026-6510 was published on 2026-05-14. The vulnerability's severity is rated as CRITICAL (CVSS 9.8). Currently, there are no publicly available exploits or active campaigns targeting this vulnerability. It is not listed on KEV or EPSS, indicating a low to medium probability of exploitation in the near term, but the CRITICAL severity warrants immediate attention. Refer to the official WordPress security advisory for further details.

Bedrohungsanalyse

Exploit-Status

Proof of ConceptUnbekannt
CISA KEVNO
Internet-ExponierungHoch
Berichte5 Bedrohungsberichte

CISA SSVC

Ausnutzungnone
Automatisierbaryes
Technische Auswirkungtotal

CVSS-Vektor

BEDROHUNGSANALYSE· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H9.8CRITICALAttack VectorNetworkWie der Angreifer das Ziel erreichtAttack ComplexityLowBedingungen zur erfolgreichen AusnutzungPrivileges RequiredNoneErforderliche AuthentifizierungsstufeUser InteractionNoneOb ein Opfer eine Aktion ausführen mussScopeUnchangedAuswirkungen über die Komponente hinausConfidentialityHighRisiko der Offenlegung sensibler DatenIntegrityHighRisiko nicht autorisierter DatenänderungAvailabilityHighRisiko der Dienstunterbrechungnextguardhq.com · CVSS v3.1 Basis-Score
Was bedeuten diese Metriken?
Attack Vector
Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
Attack Complexity
Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
Privileges Required
Keine — ohne Authentifizierung ausnutzbar. Keine Zugangsdaten erforderlich.
User Interaction
Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
Scope
Unverändert — Auswirkung auf das anfällige Komponente beschränkt.
Confidentiality
Hoch — vollständiger Vertraulichkeitsverlust. Angreifer kann alle Daten lesen.
Integrity
Hoch — Angreifer kann beliebige Daten schreiben, ändern oder löschen.
Availability
Hoch — vollständiger Absturz oder Ressourcenerschöpfung. Totaler Denial of Service.

Betroffene Software

KomponenteinfusedwooPRO
Herstellerwordfence
Mindestversion0.0.0
Höchstversion5.1.2
Behoben in5.1.3

Schwachstellen-Klassifikation (CWE)

Zeitleiste

  1. Reserviert
  2. Veröffentlicht

Mitigation und Workarounds

The primary mitigation for CVE-2026-6510 is to immediately upgrade the InfusedWoo Pro plugin to version 5.1.3 or later. If upgrading is not immediately feasible due to compatibility issues or breaking changes, consider temporarily disabling the iwarsaverecipe() AJAX handler functionality. While not a complete solution, this can reduce the attack surface. Web application firewalls (WAFs) can be configured to block requests to the iwarsaverecipe() endpoint without proper authentication. Monitor WordPress logs for suspicious activity, particularly HTTP POST requests to the iwarsaverecipe() endpoint. After upgrading, confirm the fix by attempting to access the plugin's functionality without authentication and verifying that access is denied.

So beheben

Aktualisieren Sie auf Version 5.1.3 oder eine neuere gepatchte Version

Häufig gestellte Fragen

What is CVE-2026-6510 — Privilege Escalation in InfusedWoo Pro?

CVE-2026-6510 is a critical vulnerability in the InfusedWoo Pro WordPress plugin that allows unauthenticated attackers to bypass authentication and gain control of user accounts. It's rated CRITICAL (CVSS 9.8) and affects versions 0.0.0–5.1.2.

Am I affected by CVE-2026-6510 in InfusedWoo Pro?

You are affected if your WordPress site uses the InfusedWoo Pro plugin and is running version 0.0.0 through 5.1.2. Check your plugin version immediately using wp plugin list.

How do I fix CVE-2026-6510 in InfusedWoo Pro?

Upgrade the InfusedWoo Pro plugin to version 5.1.3 or later. If upgrading is not immediately possible, consider temporarily disabling the iwarsaverecipe() AJAX handler.

Is CVE-2026-6510 being actively exploited?

As of now, there are no publicly known active exploitation campaigns targeting CVE-2026-6510, but the CRITICAL severity warrants immediate action to mitigate the risk.

Where can I find the official InfusedWoo Pro advisory for CVE-2026-6510?

Refer to the official WordPress security advisory and the InfusedWoo Pro plugin developer's website for the latest information and updates regarding CVE-2026-6510.

Ist dein Projekt betroffen?

Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.

WordPress

Erkenne diese CVE in deinem Projekt

Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.

liveKostenloser Scan

Scannen Sie jetzt Ihr WordPress-Projekt – kein Konto

Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.

Manueller ScanSlack/E-Mail-AlertsKontinuierliche ÜberwachungWhite-Label-Berichte

Abhängigkeitsdatei hier ablegen

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...