CVE-2026-19652
KrytyczneCVSS 9.8Streszczenie
Plugin Divi Membership dla WordPressa jest podatny na eskalację uprawnień w wersjach do 2.2.0 włącznie. Wynika to z funkcji `dmem_form_submit_handler()`, która określa rolę nowego użytkownika poprzez iterację wszystkich ról WordPressa i wywołanie `password_verify()` na kontrolowanym przez atakującego hashu bcrypt dostarczonym w parametrze POST `form_id`, bez walidacji lub listy dozwolonych ról. Umożliwia to nieuwierzytelnionym atakującym rejestrację nowego konta z rolą administratora poprzez przesłanie lokalnie obliczonego hashu bcrypt słowa 'administrator' jako `form_id`, a gdy `auto_login=on` jest przesłane, natychmiastowe uwierzytelnienie jako ten administrator w tym samym żądaniu, co prowadzi do całkowitego przejęcia strony. Eksploatacja wymaga nonce WordPressa, ale ten nonce jest publicznie emitowany na każdej stronie renderującej formularz rejestracji Divi Membership, więc jest dostępny dla każdego nieuwierzytelnionego odwiedzającego.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie strony WordPress przez nieuwierzytelnionego atakującego, co może prowadzić do naruszenia poufności danych, zainstalowania złośliwego oprogramowania lub uszkodzenia strony.
Rekomendacja
Zaleca się natychmiastową aktualizację plugin Divi Membership do wersji nowszej niż 2.2.0, która naprawia podatność, oraz ograniczenie dostępu do formularza rejestracji tylko dla zaufanych użytkowników.
Inne podatności w Divi Membership plugin
Oryginalny opis (angielski, źródło NVD)
The Divi Membership plugin for WordPress is vulnerable to Privilege Escalation in versions up to, and including, 2.2.0. This is due to the `dmem_form_submit_handler()` function determining the new user's role by iterating all WordPress roles and calling `password_verify()` against an attacker-controlled bcrypt hash supplied in the `form_id` POST parameter, with no validation or whitelist of allowed roles. This makes it possible for unauthenticated attackers to register a new account with the administrator role by submitting a locally computed bcrypt hash of `administrator` as `form_id`, and when `auto_login=on` is submitted, be immediately authenticated as that administrator in the same request, resulting in full site takeover. Exploitation requires a WordPress nonce, but that nonce is publicly emitted on any page rendering the Divi Membership registration form and is therefore obtainable by any unauthenticated visitor.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS