CVE-2026-75800: захват аккаунтов в Frontegg SAML SSO через непроверенный SAMLResponse
В WordPress-плагине Frontegg SAML SSO (версии до 1.0.1 включительно) обнаружена критическая уязвимость: плагин не проверяет подпись и издателя SAML-ответов, что позволяет неаутентифицированному злоумышленнику войти под любой учётной записью, включая администратора. Проблема затрагивает все сайты, использующие уязвимые версии плагина, и требует немедленного обновления или отключения компонента.
Подробности
Уязвимость затрагивает Frontegg SAML SSO для WordPress во всех версиях до 1.0.1 включительно (затронутые версии — «Unknown Frontegg SAML SSO», согласно записи CVE). Корневая причина — отсутствие проверки подписи и издателя (issuer) в SAML-ответе (SAMLResponse) перед созданием сессии. Иными словами, плагин не убеждается, что ответ действительно сформирован доверенным поставщиком идентификации и не был подделан. Это позволяет неаутентифицированному атакующему, находящемуся вне инфраструктуры организации, отправить сфабрикованный SAMLResponse и: - войти в систему под любым существующим пользователем, включая администратора; - создать произвольные новые учётные записи. Класс уязвимости — обход аутентификации с последующим полным захватом учётной записи (Account Takeover). Показатель CVSS в записи CVE не приведён, однако характер проблемы (сетевой вектор, отсутствие аутентификации, высокое влияние на конфиденциальность, целостность и доступность) соответствует критическому уровню. Эксплуатация не требует валидных учётных данных и специальных условий — достаточно сетевого доступа к уязвимому сайту.Что делать
Основная рекомендация — обновить Frontegg SAML SSO для WordPress до версии выше 1.0.1 сразу после её выпуска, отслеживая официальные каналы плагина. Если обновление недоступно, примените компенсирующие меры: - временно отключите плагин, если SAML SSO не является критичным для работы сайта; - ограничьте доступ к эндпоинтам плагина (в частности, к точкам обработки SAMLResponse) на уровне веб-сервера, WAF или обратного прокси — например, по IP-адресам доверенного IdP, если такой фильтрации достаточно для вашей схемы; - включите усиленный мониторинг журналов аутентификации WordPress на предмет входов, инициированных неожиданными SAML-запросами, и создания новых учётных записей; - проверьте списки пользователей и роли на предмет несанкционированных административных аккаунтов, а также проведите аудит активных сессий. Дополнительно стоит проверить, не использовалась ли уязвимость ранее: даже после обновления скомпрометированные учётные записи и ключи требуют ротации. Итог: CVE-2026-75800 — критическая уязвимость обхода аутентификации в Frontegg SAML SSO для WordPress, допускающая вход под администратором и создание произвольных аккаунтов без аутентификации. Единственная надёжная мера — обновление плагина; до его выхода рекомендуется отключить компонент или строго ограничить доступ к его эндпоинтам и усилить мониторинг.Источник: CVE Project (cvelistV5)