CVE-2026-14936
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Simple Membership dla WordPressa przed wersją 4.7.7 nie weryfikuje, czy powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy przed aktywacją członkostwa. Umożliwia to nieuwierzytelnionym użytkownikom aktywację lub przedłużenie członkostwa przy użyciu płatności dokonanej na dowolne konto PayPal, które kontrolują.
Ocena ryzyka
Atakujący mogą uzyskać płatne członkostwo bez ponoszenia kosztów, co prowadzi do utraty przychodów i nieautoryzowanego dostępu do treści.
Rekomendacja
Zaktualizuj wtyczkę Simple Membership do wersji 4.7.7 lub nowszej, aby zapewnić weryfikację konta odbiorcy płatności PayPal.
Inne podatności w Simple Membership
Zobacz wszystkie- CVE-2026-15930Krytyczne
Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie weryfikuje, czy rejestracja użytkownika się powiodła, przed użyciem zwróconej wartości jako ID użytkownika do aktualizacji konta. Pozwala to nieuwierzytelnionym atakującym na nadpisanie danych konta głównego administratora (w tym adresu e-mail) i przejęcie go przez resetowanie hasła.
- CVE-2026-66712Wysokie
Nieuwierzytelnione złamanie kontroli dostępu w Simple Membership w wersjach do 4.7.8.
- CVE-2026-15931Średnie
Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie oczyszcza wartości nazwy subskrybenta otrzymanej z nieuwierzytelnionego żądania zatwierdzenia płatności ani nie escapuje jej podczas wyświetlania w panelu administracyjnym. Pozwala to nieuwierzytelnionym atakującym na przechowywanie dowolnego kodu JavaScript, który wykonuje się w sesji administratora.
- CVE-2026-11855Wysokie
Wtyczka Simple Membership dla WordPress przed wersją 4.7.5 nie weryfikuje autentyczności żądań webhook Stripe, gdy nie skonfigurowano tajnego klucza podpisu, ani nie zabezpiecza wartości pobranych z tych żądań przed wyświetleniem w powiadomieniu administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów web, które wykonują się w kontekście zalogowanego administratora.
- CVE-2026-42663Średnie
W wersjach Simple Membership <= 4.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
- CVE-2026-34886Wysokie
Wersje Simple Membership do 4.7.1 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
Oryginalny opis (angielski, źródło NVD)
The Simple Membership WordPress plugin before 4.7.7 does not verify that a PayPal payment notification was sent to the site's own configured merchant account before activating a membership, allowing unauthenticated users to activate or extend a membership using a payment made to an arbitrary PayPal account they control.