CVE-2026-66712

Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie weryfikuje, czy rejestracja użytkownika się powiodła, przed użyciem zwróconej wartości jako ID użytkownika do aktualizacji konta. Pozwala to nieuwierzytelnionym atakującym na nadpisanie danych konta głównego administratora (w tym adresu e-mail) i przejęcie go przez resetowanie hasła.

Wtyczka Simple Membership dla WordPressa przed wersją 4.7.7 nie weryfikuje, czy powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy przed aktywacją członkostwa. Umożliwia to nieuwierzytelnionym użytkownikom aktywację lub przedłużenie członkostwa przy użyciu płatności dokonanej na dowolne konto PayPal, które kontrolują.

Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie oczyszcza wartości nazwy subskrybenta otrzymanej z nieuwierzytelnionego żądania zatwierdzenia płatności ani nie escapuje jej podczas wyświetlania w panelu administracyjnym. Pozwala to nieuwierzytelnionym atakującym na przechowywanie dowolnego kodu JavaScript, który wykonuje się w sesji administratora.

Wtyczka Simple Membership dla WordPress przed wersją 4.7.5 nie weryfikuje autentyczności żądań webhook Stripe, gdy nie skonfigurowano tajnego klucza podpisu, ani nie zabezpiecza wartości pobranych z tych żądań przed wyświetleniem w powiadomieniu administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów web, które wykonują się w kontekście zalogowanego administratora.

W wersjach Simple Membership <= 4.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Wersje Simple Membership do 4.7.1 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.