CVE-2026-32480
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Brak autoryzacji we wtyczce WCFM Membership od WC Lovers umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.11.11 włącznie.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do funkcji członkowskich lub danych, co może prowadzić do naruszenia prywatności lub uprawnień.
Rekomendacja
Zaktualizuj wtyczkę WCFM Membership do wersji nowszej niż 2.11.11, która zawiera poprawkę, oraz sprawdź ustawienia kontroli dostępu.
Inne podatności w WCFM Membership
Zobacz wszystkie- CVE-2026-3688Wysokie
Wtyczka WCFM Membership dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 2.11.10 włącznie. Akcja AJAX 'wcfmvm_membership_change' nie weryfikuje uprawnień użytkownika do modyfikacji innych kont, co pozwala uwierzytelnionym atakującym z dostępem na poziomie dostawcy lub wyższym na zmianę roli dowolnego użytkownika na 'wcfm_vendor' poprzez zmianę jego planu członkostwa.
- CVE-2026-42753Wysokie
W podatności CVE-2026-42753 występuje brak autoryzacji w wtyczce WC Lovers WCFM Membership, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji WCFM Membership od n/a do 2.11.10.
- CVE-2026-84756Wysokie
Eskalacja uprawnień subskrybenta w WCFM Membership w wersjach do 2.11.11. Użytkownik z rolą subskrybenta może uzyskać wyższe uprawnienia.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in WC Lovers WCFM Membership allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects WCFM Membership: from n/a through 2.11.11.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS