CVE-2026-15930
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie weryfikuje, czy rejestracja użytkownika się powiodła, przed użyciem zwróconej wartości jako ID użytkownika do aktualizacji konta. Pozwala to nieuwierzytelnionym atakującym na nadpisanie danych konta głównego administratora (w tym adresu e-mail) i przejęcie go przez resetowanie hasła.
Ocena ryzyka
Atakujący może przejąć konto administratora, uzyskując pełną kontrolę nad stroną, co może prowadzić do kradzieży danych i modyfikacji treści.
Rekomendacja
Zaktualizuj wtyczkę Simple Membership do wersji 4.7.8 lub nowszej, która weryfikuje powodzenie rejestracji przed aktualizacją konta.
Oryginalny opis (angielski, źródło NVD)
The Simple Membership WordPress plugin before 4.7.8 does not verify whether user creation failed during registration before using the returned value as a user ID to update an account, allowing unauthenticated attackers to overwrite the primary administrator's account data (including the email address) and take over that account through the password reset flow.