CVE-2026-34886

Podatność złamania kontroli dostępu (Broken Access Control) w wtyczce Simple Membership w wersjach do 4.8.2 włącznie, umożliwiająca kontom o roli autora (Contributor) dostęp do funkcji administracyjnych. Pozwala to na eskalację uprawnień.

Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie weryfikuje, czy rejestracja użytkownika się powiodła, przed użyciem zwróconej wartości jako ID użytkownika do aktualizacji konta. Pozwala to nieuwierzytelnionym atakującym na nadpisanie danych konta głównego administratora (w tym adresu e-mail) i przejęcie go przez resetowanie hasła.

Wtyczka Simple Membership dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr 'country' we wszystkich wersjach do 4.8.4 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nieuwierzytelnieni atakujący mogą również wykorzystać tę podatność, gdy włączona jest funkcja 'Enable Free Membership', ponieważ umożliwia ona anonimową rejestrację na froncie i przesyłanie profili.

Wtyczka Simple Membership dla WordPressa jest podatna na nieautoryzowaną modyfikację danych i ujawnianie wrażliwych informacji w wersjach do 4.8.3 włącznie przez punkty końcowe resend-activation i email-activation. Nieuwierzytelnieni atakujący mogą przekierować e-mail aktywacyjny oczekującego członka, a także e-mail z nazwą użytkownika i hasłem w postaci zwykłego tekstu, na wybrane przez siebie adresy, a następnie aktywować konto bez zgody członka.

Wtyczka WordPress Simple Membership w wersji przed 4.7.8 nie sprawdza, czy poziom członkostwa podany w powiadomieniu o płatności PayPal odpowiada poziomowi skonfigurowanemu dla przycisku płatności. Umożliwia to członkom zapłatę za tańsze członkostwo przy jednoczesnym przyznaniu wyższego, bardziej uprzywilejowanego poziomu.

Wtyczka Simple Membership dla WordPressa jest podatna na obejście uwierzytelniania prowadzące do przejęcia konta administratora w wersjach do 4.8.0 włącznie. Wynika to z nieprawidłowej weryfikacji tożsamości podczas publicznej rejestracji w środowiskach WordPress Multisite, gdzie wtyczka wiąże nowe rekordy Simple Membership z istniejącymi globalnymi użytkownikami WordPressa wyłącznie na podstawie zgodnej nazwy użytkownika i adresu e-mail, bez wymogu weryfikacji hasła lub dowodu własności, oraz nie wykrywa poprawnie ról Administratora na podrzędnych stronach. Umożliwia to nieuwierzytelnionym atakującym przejęcie kont administratora na podrzędnych stronach w sieci Multisite poprzez zarejestrowanie konta Simple Membership z danymi ofiary na stronie, gdzie publiczna rejestracja jest włączona, a następnie zaktualizowanie globalnego hasła ofiary w WordPressie przez funkcję edycji profilu. Podatność została częściowo naprawiona w wersji 4.8.1.

Wtyczka Simple Membership dla WordPressa przed wersją 4.7.7 nie weryfikuje, czy powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy przed aktywacją członkostwa. Umożliwia to nieuwierzytelnionym użytkownikom aktywację lub przedłużenie członkostwa przy użyciu płatności dokonanej na dowolne konto PayPal, które kontrolują.

Nieuwierzytelnione złamanie kontroli dostępu w Simple Membership w wersjach do 4.7.8.

Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie oczyszcza wartości nazwy subskrybenta otrzymanej z nieuwierzytelnionego żądania zatwierdzenia płatności ani nie escapuje jej podczas wyświetlania w panelu administracyjnym. Pozwala to nieuwierzytelnionym atakującym na przechowywanie dowolnego kodu JavaScript, który wykonuje się w sesji administratora.

Wtyczka Simple Membership dla WordPress przed wersją 4.7.5 nie weryfikuje autentyczności żądań webhook Stripe, gdy nie skonfigurowano tajnego klucza podpisu, ani nie zabezpiecza wartości pobranych z tych żądań przed wyświetleniem w powiadomieniu administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów web, które wykonują się w kontekście zalogowanego administratora.