CVE-2026-19660
KrytyczneCVSS 9.8Streszczenie
Wtyczka Divi Membership dla WordPressa do wersji 2.3.0 włącznie ma podatność na pominięcie uwierzytelniania. Funkcja process_paypal_callback akceptuje zakodowany base64 parametr paypal_param bez walidacji IPN, podpisu kryptograficznego, weryfikacji własności ani nonce, co pozwala na zalogowanie się jako dowolny użytkownik, w tym administrator.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć konto administratora i całkowicie przejąć witrynę WordPress.
Rekomendacja
Zaktualizuj wtyczkę Divi Membership do najnowszej wersji, która usuwa tę podatność, i sprawdź, czy nie doszło do nieautoryzowanego dostępu.
Powiązane podatności
- CVE-2026-14378Krytyczne
Wtyczka DevKit Pro dla WordPressa do wersji 2.3.0 włącznie ma podatność na pominięcie uwierzytelniania prowadzącą do przejęcia konta administratora. Obsługa revert_switch ufa kontrolowanemu przez atakującego ciasteczku original_user_id, a weryfikacja nonce i uprawnień jest przeprowadzana na podstawie tego ciasteczka, a nie rzeczywistego żądającego.
- CVE-2026-104480Krytyczne
Discord libdave przed wersją 1.2.0 nie odrzucał wiadomości MLS Welcome, gdy lista uczestników zawierała nieznanego uczestnika. Atakujący kontrolujący ścieżkę sygnalizacji DAVE (bramka głosowa lub równoważna pozycja) mógł spowodować, że klienci zaakceptują nieautoryzowanego członka do szyfrowanej sesji medialnej.
- CVE-2026-86345Krytyczne
W 389-ds-base serwer nie odrzuca buforowanych bajtów tekstu jawnego z połączenia klienta podczas negocjacji StartTLS. Atakujący w ścieżce sieciowej może wstrzyknąć spreparowaną wiadomość LDAP, która jest przetwarzana po ulepszeniu TLS, a odpowiedź jest dostarczana klientowi zamiast odpowiedzi na jego własne oczekujące żądanie.
- CVE-2026-103765Krytyczne
Mooncake do wersji 0.3.13.post1 zawiera brak uwierzytelnienia w handlerze /metadata serwera HTTP, co pozwala nieuwierzytelnionym atakującym na odczyt, nadpisanie i usunięcie kluczy metadanych silnika transferu. Mogą oni zatruć deskryptory segmentów lub odtworzyć wpisy rpc_meta, aby przekierować transfery pamięci podręcznej KV do kontrolowanych przez atakującego odbiorników lub wyczerpać pamięć serwera.
- CVE-2026-103764Krytyczne
Silnik transferu Mooncake przed wersją 0.3.13 zawiera niezaufane wyłuskanie wskaźnika w ServerSession::readHeader, co pozwala nieuwierzytelnionym atakującym na odczyt i zapis dowolnej pamięci procesu przez port danych TCP. Mogą oni wysłać spreparowany SessionHeader z dowolnymi wartościami addr i size, używając kodów READ lub WRITE, aby ujawnić zawartość pamięci podręcznej KV, promptów i sekretów lub uszkodzić pamięć w celu wykonania kodu.
- CVE-2026-71449Krytyczne
W Johnson Controls EasyIO FS32 występuje podatność polegająca na użyciu wbudowanego klucza kryptograficznego, co pozwala na odczyt osadzonych danych wrażliwych. Problem dotyczy wersji przed 3.0b63.
- CVE-2026-18397Krytyczne
Podatność umożliwia nieuwierzytelnione zdalne wykonanie kodu (RCE) na maszynie ofiary poprzez wykorzystanie słabości kryptograficznych i problemów z zarządzaniem pamięcią w komponencie SConnect native host. Atak wykorzystuje nieograniczony interfejs przesyłania wiadomości między kontrolowaną przez atakującego stroną internetową a native hostem, co pozwala na obejście kontroli bezpieczeństwa.
- CVE-2026-55395Krytyczne
W systemach Teledyne FLIR Aware2 (wersje do 6.9.0.2 dla PackBot i 1.7.9 dla FirstLook) w kontroli dostępu znajdują się zakodowane na stałe hasła. Zdalny, nieuwierzytelniony atakujący może je odczytać z firmware'u lub dokumentacji i uzyskać dostęp do robotów oraz zmienić ich konfigurację.
- CVE-2026-55393Krytyczne
W interfejsie webowym Teledyne FLIR Aware2 (wersje do 6.9.0.2 dla PackBot i 1.7.9 dla FirstLook) nie są weryfikowane ścieżki plików. Zdalny, nieuwierzytelniony atakujący może wykorzystać podatność typu path traversal do odczytu plików konfiguracyjnych i parametrów bezpieczeństwa robotów.
- CVE-2026-56662Krytyczne
W GetSimple CMS CE przed wersją 1.5 formularz aktualizacji UpdateCE nie zawierał tokenu anty-CSRF, a serwer nie weryfikował pochodzenia żądania. Zdalny atakujący może przygotować stronę automatycznie wysyłającą sfałszowane żądanie POST; gdy odwiedzi ją uwierzytelniony administrator, serwer wykona operację pobrania i wdrożenia kodu w sesji administratora, co prowadzi do zdalnego wykonania kodu. Dodatkowo pole url jest zapisywane bez escapowania, co umożliwia wstrzyknięcie HTML.
Oryginalny opis (angielski, źródło NVD)
The Divi Membership plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 2.3.0. The `process_paypal_callback` function, hooked to the `init` action, accepts a base64-encoded `paypal_param` GET parameter with no IPN validation, no cryptographic signature check, no ownership verification, and no nonce, allowing it to trust an entirely attacker-controlled user ID value that is passed directly to `wp_set_current_user()` and `wp_set_auth_cookie()`. This makes it possible for unauthenticated attackers to log in as any existing WordPress user — including administrators — by supplying an arbitrary user ID in the `paypal_param` GET parameter, resulting in full site takeover. The vulnerability is further compounded by the fact that the PayPal gateway class is instantiated unconditionally regardless of whether PayPal is enabled or configured, ensuring the vulnerable hook is always registered on every front-end request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS