CVE-2026-11963
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.2 nie sprawdza autoryzacji podczas akcji uaktualnienia członkostwa i pobiera identyfikator użytkownika do modyfikacji z parametru podanego przez wywołującego, a nie z bieżącego użytkownika. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zmianę roli WordPressa i poziomu członkostwa innego użytkownika.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowaną eskalację uprawnień, gdzie zwykły użytkownik może przypisać sobie lub innym rolę administratora, co prowadzi do pełnego przejęcia kontroli nad witryną WordPress.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę User Registration & Membership do wersji 5.2.2 lub nowszej, która zawiera poprawkę usuwającą lukę w autoryzacji.
Inne podatności w User Registration & Membership
Zobacz wszystkie- CVE-2026-11964Krytyczne
Wtyczka User Registration & Membership dla WordPress przed wersją 5.2.2 nie weryfikuje autentyczności przychodzących powiadomień webhook od dostawcy płatności przed ich przetworzeniem. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie zdarzenia zatwierdzenia płatności i aktywację płatnej subskrypcji członkowskiej bez dokonania rzeczywistej płatności.
- CVE-2026-11966Średnie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.3 nie sprawdza uprawnień dla nieuwierzytelnionych wywołań jednej z akcji płatności członkowskich i działa na podstawie identyfikatora użytkownika podanego przez wywołującego, co pozwala nieuwierzytelnionym atakującym na usuwanie niedawno zarejestrowanych kont użytkowników z oczekującą płatnością.
- CVE-2026-11961Wysokie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.3 nie weryfikuje, czy poziom członkostwa wybrany podczas publicznej rejestracji jest dozwolony przez formularz rejestracyjny. Umożliwia to niezautoryzowanym użytkownikom rejestrację do dowolnego opublikowanego poziomu członkostwa i uzyskanie przypisanej mu roli, włącznie z administratorem, jeśli taki poziom istnieje.
- CVE-2026-11965Średnie
Wtyczka User Registration & Membership dla WordPress przed wersją 5.2.0 nie wymusza finalizacji płatności przed aktywacją płatnej subskrypcji członkowskiej. Umożliwia to niezalogowanym użytkownikom (po samodzielnej rejestracji konta przez otwarty proces rejestracji) uzyskanie aktywnej subskrypcji dowolnego płatnego planu bez płacenia i dostęp do treści chronionych.
- CVE-2026-1865Średnie
Wtyczka User Registration & Membership dla WordPressa jest podatna na SQL Injection przez parametr 'membership_ids[]' w wersjach do 5.1.2 włącznie. Niedostateczne escapowanie i przygotowanie zapytania SQL pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na dołączanie dodatkowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
The User Registration & Membership WordPress plugin before 5.2.2 does not perform an authorization check on a membership-upgrade action and derives the user to modify from a caller-supplied identifier instead of the current user, allowing any authenticated user such as a subscriber to change another user's WordPress role and membership tier.