CVE-2026-10782

ŚrednieCVSS 4.3

Opublikowano: 01/08/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka RealHomes Memberships dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 3.0.9 włącznie. Podatność wynika z nieprawidłowego weryfikowania uprawnień użytkownika do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym przyznanie sobie dowolnego poziomu członkostwa premium bez dokonywania płatności PayPal.

Ocena ryzyka

Atakujący może uzyskać nieautoryzowany dostęp do ograniczonych funkcji i przywilejów, generując fałszywe potwierdzenie płatności. Może to prowadzić do strat finansowych i naruszenia integralności systemu członkostwa.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki RealHomes Memberships do najnowszej wersji, która usuwa tę podatność. Należy również wzmocnić walidację transakcji PayPal.

Inne podatności w RealHomes Memberships

CVE-2026-15246Średnie
Wtyczka RealHomes Memberships dla WordPressa przed wersją 3.1.0 nie weryfikuje, czy płatność za członkostwo została faktycznie dokonana, ani nie sprawdza nonce ani uprawnień użytkownika przed przyznaniem płatnego pakietu członkowskiego. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. Subscriberowi, na uzyskanie płatnych pakietów bez płacenia.

Oryginalny opis (angielski, źródło NVD)

The RealHomes Memberships plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.0.9. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to grant themselves any premium membership tier without completing a PayPal transaction, generating a falsified active payment receipt and gaining unauthorized access to restricted property listing allowances.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS