CVE-2026-3688
WysokieCVSS 8.1Streszczenie
Wtyczka WCFM Membership dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 2.11.10 włącznie. Akcja AJAX 'wcfmvm_membership_change' nie weryfikuje uprawnień użytkownika do modyfikacji innych kont, co pozwala uwierzytelnionym atakującym z dostępem na poziomie dostawcy lub wyższym na zmianę roli dowolnego użytkownika na 'wcfm_vendor' poprzez zmianę jego planu członkostwa.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowaną eskalację uprawnień, gdzie atakujący może przejąć kontrolę nad kontami innych użytkowników, nadając im rolę dostawcy, co może prowadzić do naruszenia integralności sklepu i kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WCFM Membership do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz lub ogranicz dostęp do akcji AJAX 'wcfmvm_membership_change' dla nieuprawnionych użytkowników.
Inne podatności w WCFM Membership
Zobacz wszystkie- CVE-2026-84756Wysokie
Eskalacja uprawnień subskrybenta w WCFM Membership w wersjach do 2.11.11. Użytkownik z rolą subskrybenta może uzyskać wyższe uprawnienia.
- CVE-2026-42753Wysokie
W podatności CVE-2026-42753 występuje brak autoryzacji w wtyczce WC Lovers WCFM Membership, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji WCFM Membership od n/a do 2.11.10.
Oryginalny opis (angielski, źródło NVD)
The WCFM Membership – WooCommerce Memberships for Multivendor Marketplace plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 2.11.10. This is due to the 'wcfmvm_membership_change' AJAX action not validating user permission to modify other users. This makes it possible for authenticated attackers, with vendor level access and above, to change any user's role to 'wcfm_vendor' by changing their membership plan.