🥺 Бесплатный доступ к WordPress без пароля

Всего через 4 часа после публикации уязвимости в OttoKit (CVE-2025-3102) хакеры начали массово взламывать WordPress-сайты. Просто отправляешь пустой st_authorization, и REST API пускает как родного. Можно создать админа и захватить контроль.

Проблема — в версиях плагина до 1.0.79 включительно. Забыли проверить ключ авторизации на пустоту — и вот тебе проходной двор. Уже зафиксированы атаки с ботами, которые клепают учётки с рандомными логинами и мэйлами.

Плагин стоит на 100К+ сайтов. Если ты среди них — срочно обновляйся, проверяй логи, чисти мусор. Через такие баги теряют не только сайты, но и доверие.

🔗 Оригинал статьи

🐸 Библиотека хакера

#свежак