CVE-2026-6419
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WishList Member dla WordPressa do wersji 3.30.1 włącznie zawiera podatność na eskalację uprawnień z powodu braku autoryzacji w funkcji ajax_get_screen(). Uwierzytelniony atakujący z dostępem na poziomie Subskrybenta może podać identyfikator ekranu administracyjnego, co powoduje załadowanie szablonu konfiguracji API i zwrócenie klucza tajnego REST API w odpowiedzi AJAX.
Ocena ryzyka
Atakujący może uzyskać klucz API, utworzyć nowy poziom członkostwa z rolą administratora i zarejestrować konto administratora, co prowadzi do pełnego przejęcia witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę WishList Member do wersji nowszej niż 3.30.1, która zawiera poprawkę autoryzacji.
Inne podatności w WishList Member
Zobacz wszystkie- CVE-2026-12949Krytyczne
Wtyczka Wishlist Member dla WordPressa do wersji 3.34.1 włącznie jest podatna na przejęcie konta z powodu niewystarczającej weryfikacji autentyczności danych. Funkcja wpm_register() waliduje cookie rejestracyjne tylko względem parametru GET reg, akceptując parametry POST mergewith i POST wpm_id bez weryfikacji, czy identyfikator użytkownika mergewith odnosi się do tymczasowego lub niekompletnego rejestrującego powiązanego z bieżącą transakcją rejestracji. Umożliwia to nieuwierzytelnionym atakującym przejęcie dowolnego istniejącego konta WordPress, w tym kont administratora, poprzez podanie dowolnego numerycznego identyfikatora użytkownika jako wartości mergewith, co powoduje, że wp_update_user() nadpisuje nazwę użytkownika, hasło, adres e-mail, imię i nazwisko docelowego konta wartościami kontrolowanymi przez atakującego, przy jednoczesnym tłumieniu powiadomień e-mail o zmianie hasła i adresu e-mail.
- CVE-2026-6897Wysokie
Wtyczka Wishlist Member dla WordPressa do wersji 3.30.1 włącznie nie sprawdza odpowiednich uprawnień w funkcji 'WishListMember\Features\Team_Accounts::save_settings'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym modyfikację dowolnych opcji wtyczki, w tym tajnego klucza API REST.
Oryginalny opis (angielski, źródło NVD)
The WishList Member plugin for WordPress is vulnerable to Privilege Escalation via Missing Authorization in versions up to and including 3.30.1. This is due to the missing capability and nonce check in the ajax_get_screen() function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to supply an arbitrary admin screen identifier via the data[url] parameter, causing the plugin to load and execute the administrative API configuration template without authorization. The rendered HTML, which contains the plugin's plaintext REST API Secret Key, is returned directly to the attacker in the AJAX JSON response. An attacker who obtains this key can authenticate to the WishList Member API, create a new membership level assigned the administrator WordPress role, and register an arbitrary administrator-level user account, resulting in complete site takeover.