CVE-2026-80072
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress User Registration & Membership w wersji przed 5.2.8 nie sprawdza miejsca docelowego przekierowania po logowaniu. Umożliwia to nieuwierzytelnionym atakującym przekierowanie odwiedzających na dowolny zewnętrzny adres URL, co może być wykorzystane do phishingu.
Ocena ryzyka
Atakujący mogą wykorzystać podatność do przeprowadzania ataków phishingowych, podszywając się pod zaufaną witrynę. Może to prowadzić do kradzieży danych logowania i naruszenia bezpieczeństwa użytkowników.
Rekomendacja
Zaktualizuj wtyczkę User Registration & Membership do wersji 5.2.8 lub nowszej. Poinformuj użytkowników o ryzyku phishingu i zachęć do weryfikacji adresów URL.
Inne podatności w User Registration & Membership
Zobacz wszystkie- CVE-2026-11964Krytyczne
Wtyczka User Registration & Membership dla WordPress przed wersją 5.2.2 nie weryfikuje autentyczności przychodzących powiadomień webhook od dostawcy płatności przed ich przetworzeniem. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie zdarzenia zatwierdzenia płatności i aktywację płatnej subskrypcji członkowskiej bez dokonania rzeczywistej płatności.
- CVE-2026-11966Średnie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.3 nie sprawdza uprawnień dla nieuwierzytelnionych wywołań jednej z akcji płatności członkowskich i działa na podstawie identyfikatora użytkownika podanego przez wywołującego, co pozwala nieuwierzytelnionym atakującym na usuwanie niedawno zarejestrowanych kont użytkowników z oczekującą płatnością.
- CVE-2026-11961Wysokie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.3 nie weryfikuje, czy poziom członkostwa wybrany podczas publicznej rejestracji jest dozwolony przez formularz rejestracyjny. Umożliwia to niezautoryzowanym użytkownikom rejestrację do dowolnego opublikowanego poziomu członkostwa i uzyskanie przypisanej mu roli, włącznie z administratorem, jeśli taki poziom istnieje.
- CVE-2026-11963Wysokie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.2 nie sprawdza autoryzacji podczas akcji uaktualnienia członkostwa i pobiera identyfikator użytkownika do modyfikacji z parametru podanego przez wywołującego, a nie z bieżącego użytkownika. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zmianę roli WordPressa i poziomu członkostwa innego użytkownika.
- CVE-2026-11965Średnie
Wtyczka User Registration & Membership dla WordPress przed wersją 5.2.0 nie wymusza finalizacji płatności przed aktywacją płatnej subskrypcji członkowskiej. Umożliwia to niezalogowanym użytkownikom (po samodzielnej rejestracji konta przez otwarty proces rejestracji) uzyskanie aktywnej subskrypcji dowolnego płatnego planu bez płacenia i dostęp do treści chronionych.
- CVE-2026-1865Średnie
Wtyczka User Registration & Membership dla WordPressa jest podatna na SQL Injection przez parametr 'membership_ids[]' w wersjach do 5.1.2 włącznie. Niedostateczne escapowanie i przygotowanie zapytania SQL pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na dołączanie dodatkowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
The User Registration & Membership WordPress plugin before 5.2.8 does not validate the destination of a post-login redirect before redirecting, allowing unauthenticated attackers to redirect visitors to an arbitrary external URL, which can be abused for phishing.