آسیب‌پذیری با شناسه CVE-2025-3102 (امتیاز 8.1) که به تازگی در پلاگین OttoKit (با نام پیشین SureTriggers) شناسایی شد، تنها چند ساعت پس از افشای عمومی، مورد اکسپلویت فعال قرار گرفت.
آسیب‌پذیری مذکور، از نوع عبور از احراز هویت است که می‌تواند به نفوذگر اجازه دهد تحت شرایطی، حساب‌های کاربری با سطح دسترسی مدیر ایجاد و کنترل کامل وب‌سایت‌های آسیب‌پذیر را در اختیار بگیرد. شرکت امنیتی Wordfence آسیب‌پذیری را در OttoKit افشا کرد که همه نسخه‌های پیش از 10.0.79 را تحت‌تأثیر قرار می‌دهد. این نقص امنیتی به دلیل نبود بررسی مقدار خالی در تابع ()authenticate_user که وظیفه احراز هویت در APIهای REST را بر عهده دارد، ایجاد شد. اگر پلاگین با کلید API پیکربندی نشده باشد، مقدار secret_key خالی باقی می‌ماند و باعث می‌شود نفوذگر بتواند با ارسال هدر خالی st_authorization از مراحل احراز هویت عبور و به APIهای حافظت شده دسترسی پیدا کند.
https://www.bleepingcomputer.com/news/security/hackers-exploit-wordpress-plugin-auth-bypass-hours-after-disclosure/
https://thehackernews.com/2025/04/ottokit-wordpress-plugin-admin-creation.html
