CVE-2026-11966
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.3 nie sprawdza uprawnień dla nieuwierzytelnionych wywołań jednej z akcji płatności członkowskich i działa na podstawie identyfikatora użytkownika podanego przez wywołującego, co pozwala nieuwierzytelnionym atakującym na usuwanie niedawno zarejestrowanych kont użytkowników z oczekującą płatnością.
Ocena ryzyka
Ryzyko polega na możliwości usunięcia kont użytkowników, którzy właśnie się zarejestrowali i oczekują na płatność, co może prowadzić do utraty potencjalnych klientów i zakłócenia procesu rejestracji.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę User Registration & Membership do wersji 5.2.3 lub nowszej, która zawiera odpowiednie sprawdzanie uprawnień.
Inne podatności w User Registration & Membership
Zobacz wszystkie- CVE-2026-11964Krytyczne
Wtyczka User Registration & Membership dla WordPress przed wersją 5.2.2 nie weryfikuje autentyczności przychodzących powiadomień webhook od dostawcy płatności przed ich przetworzeniem. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie zdarzenia zatwierdzenia płatności i aktywację płatnej subskrypcji członkowskiej bez dokonania rzeczywistej płatności.
- CVE-2026-11961Wysokie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.3 nie weryfikuje, czy poziom członkostwa wybrany podczas publicznej rejestracji jest dozwolony przez formularz rejestracyjny. Umożliwia to niezautoryzowanym użytkownikom rejestrację do dowolnego opublikowanego poziomu członkostwa i uzyskanie przypisanej mu roli, włącznie z administratorem, jeśli taki poziom istnieje.
- CVE-2026-11963Wysokie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.2 nie sprawdza autoryzacji podczas akcji uaktualnienia członkostwa i pobiera identyfikator użytkownika do modyfikacji z parametru podanego przez wywołującego, a nie z bieżącego użytkownika. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zmianę roli WordPressa i poziomu członkostwa innego użytkownika.
- CVE-2026-11965Średnie
Wtyczka User Registration & Membership dla WordPress przed wersją 5.2.0 nie wymusza finalizacji płatności przed aktywacją płatnej subskrypcji członkowskiej. Umożliwia to niezalogowanym użytkownikom (po samodzielnej rejestracji konta przez otwarty proces rejestracji) uzyskanie aktywnej subskrypcji dowolnego płatnego planu bez płacenia i dostęp do treści chronionych.
- CVE-2026-1865Średnie
Wtyczka User Registration & Membership dla WordPressa jest podatna na SQL Injection przez parametr 'membership_ids[]' w wersjach do 5.1.2 włącznie. Niedostateczne escapowanie i przygotowanie zapytania SQL pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na dołączanie dodatkowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
The User Registration & Membership WordPress plugin before 5.2.3 does not perform a capability check for unauthenticated callers on one of its membership payment actions and acts on a caller-supplied user identifier, allowing unauthenticated attackers to delete recently-registered, payment-pending user accounts.