CVE-2026-79995
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.5 nie weryfikuje, czy konto, którego oczekująca zmiana adresu e-mail jest anulowana, należy do użytkownika wykonującego żądanie. Uwierzytelnieni użytkownicy z poziomem Subscriber lub wyższym mogą anulować zmianę e-maila innych użytkowników, w tym administratorów.
Ocena ryzyka
Może to prowadzić do zakłócenia procesu zmiany adresu e-mail administratora, co może być wykorzystane do ataków socjotechnicznych lub destabilizacji kont.
Rekomendacja
Zaktualizuj wtyczkę User Registration & Membership do wersji 5.2.5 lub nowszej, która zawiera poprawkę weryfikacji własności konta.
Inne podatności w User Registration & Membership WordPress plugin
Zobacz wszystkie- CVE-2026-79996Wysokie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.6 nie przeprowadza sprawdzenia uprawnień podczas zapisywania ustawień logowania. Uwierzytelnieni użytkownicy z uprawnieniami zarządzania wtyczką, ale bez pełnego dostępu administratora, mogą zmieniać dowolne opcje witryny i eskalować swoje uprawnienia do administratora.
- CVE-2026-16736Wysokie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.6 nie egzekwuje ustawienia wyłączającej rejestrację w witrynie podczas przetwarzania formularzy rejestracyjnych, co pozwala nieuwierzytelnionym użytkownikom na tworzenie nowych kont nawet gdy administrator wyłączył otwartą rejestrację.
Oryginalny opis (angielski, źródło NVD)
The User Registration & Membership WordPress plugin before 5.2.5 does not verify that the account whose pending email change is being cancelled belongs to the user making the request, allowing authenticated users with Subscriber-level access and above to cancel any other user's in-progress email change, including an administrator's.