CVE-2026-77194
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka Simple Membership dla WordPressa jest podatna na obejście uwierzytelniania prowadzące do przejęcia konta administratora w wersjach do 4.8.0 włącznie. Wynika to z nieprawidłowej weryfikacji tożsamości podczas publicznej rejestracji w środowiskach WordPress Multisite, gdzie wtyczka wiąże nowe rekordy Simple Membership z istniejącymi globalnymi użytkownikami WordPressa wyłącznie na podstawie zgodnej nazwy użytkownika i adresu e-mail, bez wymogu weryfikacji hasła lub dowodu własności, oraz nie wykrywa poprawnie ról Administratora na podrzędnych stronach. Umożliwia to nieuwierzytelnionym atakującym przejęcie kont administratora na podrzędnych stronach w sieci Multisite poprzez zarejestrowanie konta Simple Membership z danymi ofiary na stronie, gdzie publiczna rejestracja jest włączona, a następnie zaktualizowanie globalnego hasła ofiary w WordPressie przez funkcję edycji profilu. Podatność została częściowo naprawiona w wersji 4.8.1.
Ocena ryzyka
Przejęcie konta administratora może prowadzić do pełnej kompromitacji witryny, w tym kradzieży danych, modyfikacji treści i dalszych ataków na użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Simple Membership do wersji 4.8.1 lub nowszej, a jeśli to możliwe, wyłącz publiczną rejestrację w środowiskach Multisite lub wymuś dodatkową weryfikację tożsamości.
Inne podatności w Simple Membership
Zobacz wszystkie- CVE-2026-74000Średnie
Podatność złamania kontroli dostępu (Broken Access Control) w wtyczce Simple Membership w wersjach do 4.8.2 włącznie, umożliwiająca kontom o roli autora (Contributor) dostęp do funkcji administracyjnych. Pozwala to na eskalację uprawnień.
- CVE-2026-15930Krytyczne
Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie weryfikuje, czy rejestracja użytkownika się powiodła, przed użyciem zwróconej wartości jako ID użytkownika do aktualizacji konta. Pozwala to nieuwierzytelnionym atakującym na nadpisanie danych konta głównego administratora (w tym adresu e-mail) i przejęcie go przez resetowanie hasła.
- CVE-2026-88764Średnie
Wtyczka WordPress Simple Membership w wersji przed 4.7.8 nie sprawdza, czy poziom członkostwa podany w powiadomieniu o płatności PayPal odpowiada poziomowi skonfigurowanemu dla przycisku płatności. Umożliwia to członkom zapłatę za tańsze członkostwo przy jednoczesnym przyznaniu wyższego, bardziej uprzywilejowanego poziomu.
- CVE-2026-14936Średnie
Wtyczka Simple Membership dla WordPressa przed wersją 4.7.7 nie weryfikuje, czy powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy przed aktywacją członkostwa. Umożliwia to nieuwierzytelnionym użytkownikom aktywację lub przedłużenie członkostwa przy użyciu płatności dokonanej na dowolne konto PayPal, które kontrolują.
- CVE-2026-66712Wysokie
Nieuwierzytelnione złamanie kontroli dostępu w Simple Membership w wersjach do 4.7.8.
- CVE-2026-15931Średnie
Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie oczyszcza wartości nazwy subskrybenta otrzymanej z nieuwierzytelnionego żądania zatwierdzenia płatności ani nie escapuje jej podczas wyświetlania w panelu administracyjnym. Pozwala to nieuwierzytelnionym atakującym na przechowywanie dowolnego kodu JavaScript, który wykonuje się w sesji administratora.
- CVE-2026-11855Wysokie
Wtyczka Simple Membership dla WordPress przed wersją 4.7.5 nie weryfikuje autentyczności żądań webhook Stripe, gdy nie skonfigurowano tajnego klucza podpisu, ani nie zabezpiecza wartości pobranych z tych żądań przed wyświetleniem w powiadomieniu administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów web, które wykonują się w kontekście zalogowanego administratora.
- CVE-2026-42663Średnie
W wersjach Simple Membership <= 4.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
- CVE-2026-34886Wysokie
Wersje Simple Membership do 4.7.1 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
Oryginalny opis (angielski, źródło NVD)
The Simple Membership plugin for WordPress is vulnerable to Authentication Bypass leading to Administrator Account Takeover in versions up to, and including, 4.8.0. This is due to improper identity verification during the public registration flow in WordPress Multisite environments, where the plugin binds new Simple Membership records to existing global WordPress users based solely on matching username and email, without requiring password verification or ownership proof, and fails to properly detect Administrator roles on child sites. This makes it possible for unauthenticated attackers to take over Administrator accounts on child sites in a Multisite network by registering a Simple Membership account with a victim's credentials on a site where public registration is enabled, then updating the victim's global WordPress password through the profile edit functionality. The vulnerability was partially patched in version 4.8.1.