CVE-2026-6897
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Wishlist Member dla WordPressa do wersji 3.30.1 włącznie nie sprawdza odpowiednich uprawnień w funkcji 'WishListMember\Features\Team_Accounts::save_settings'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym modyfikację dowolnych opcji wtyczki, w tym tajnego klucza API REST.
Ocena ryzyka
Atakujący może wykorzystać ten klucz do utworzenia nowego poziomu członkostwa z przypisaną rolą administratora WordPressa i zarejestrować dowolne konto administratora, co prowadzi do całkowitego przejęcia witryny.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Wishlist Member do najnowszej dostępnej wersji, która zawiera poprawkę usuwającą brak sprawdzania uprawnień.
Inne podatności w Wishlist Member
Zobacz wszystkie- CVE-2026-12949Krytyczne
Wtyczka Wishlist Member dla WordPressa do wersji 3.34.1 włącznie jest podatna na przejęcie konta z powodu niewystarczającej weryfikacji autentyczności danych. Funkcja wpm_register() waliduje cookie rejestracyjne tylko względem parametru GET reg, akceptując parametry POST mergewith i POST wpm_id bez weryfikacji, czy identyfikator użytkownika mergewith odnosi się do tymczasowego lub niekompletnego rejestrującego powiązanego z bieżącą transakcją rejestracji. Umożliwia to nieuwierzytelnionym atakującym przejęcie dowolnego istniejącego konta WordPress, w tym kont administratora, poprzez podanie dowolnego numerycznego identyfikatora użytkownika jako wartości mergewith, co powoduje, że wp_update_user() nadpisuje nazwę użytkownika, hasło, adres e-mail, imię i nazwisko docelowego konta wartościami kontrolowanymi przez atakującego, przy jednoczesnym tłumieniu powiadomień e-mail o zmianie hasła i adresu e-mail.
- CVE-2026-6419Wysokie
Wtyczka WishList Member dla WordPressa do wersji 3.30.1 włącznie zawiera podatność na eskalację uprawnień z powodu braku autoryzacji w funkcji ajax_get_screen(). Uwierzytelniony atakujący z dostępem na poziomie Subskrybenta może podać identyfikator ekranu administracyjnego, co powoduje załadowanie szablonu konfiguracji API i zwrócenie klucza tajnego REST API w odpowiedzi AJAX.
Oryginalny opis (angielski, źródło NVD)
The Wishlist Member plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'WishListMember\Features\Team_Accounts::save_settings' function in all versions up to, and including, 3.30.1. This makes it possible for authenticated attackers, with Subscriber-level access and above, to update arbitrary plugin options, includes the REST API Secret Key, which can be used to create a new membership level assigned the administrator WordPress role, and register an arbitrary administrator-level user account, resulting in complete site takeover.