Die Schwachstelle betrifft das WordPress-Plugin WPGraphQL, das eine GraphQL-Schnittstelle für WordPress-Websites bereitstellt. Ursache ist eine fehlerhafte Rechteprüfung bei der sogenannten registerUser-Mutation, also der GraphQL-Operation zum Anlegen neuer Benutzerkonten. Ist auf der betroffenen Website die Selbstregistrierung von Benutzern aktiviert, kann ein Angreifer aus der Ferne über diese Schnittstelle ein neues Konto erstellen und ihm dabei Administratorrechte zuweisen, obwohl ihm diese Berechtigung nicht zusteht. Damit erhält er vollständige Kontrolle über die WordPress-Installation: Er kann Inhalte verändern, weitere Konten anlegen, Plugins installieren und so dauerhaften Zugriff auf die Website und den zugrunde liegenden Server einrichten. Betroffen sind WordPress-Seiten, die das Plugin einsetzen und offene Benutzerregistrierung erlauben.