CVE-2026-86407
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress User Registration & Membership w wersjach przed 5.2.8 nie weryfikuje, czy odwiedzający żądający strony potwierdzenia członkostwa jest właścicielem konta wskazanego w żądaniu, ani czy doszło do rejestracji lub zakupu. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie adresu e-mail, pól profilu, roli i szczegółów zamówienia członkostwa innego użytkownika.
Ocena ryzyka
Nieuwierzytelniony atakujący może ujawnić dane osobowe i szczegóły zamówień innych użytkowników, co stanowi naruszenie poufności i może być podstawą dalszych ataków socjotechnicznych.
Rekomendacja
Zaktualizuj wtyczkę User Registration & Membership do wersji 5.2.8 lub nowszej; jeśli to niemożliwe, usuń znacznik smart tag użytkownika z konfigurowalnej wiadomości na stronie potwierdzenia.
Inne podatności w User Registration & Membership WordPress plugin
Zobacz wszystkie- CVE-2026-86406Wysokie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.8 nie sprawdza uprawnień użytkownika dokonującego zakupu członkostwa ani nie waliduje metody płatności i planu. Każdy uwierzytelniony użytkownik, np. subskrybent, może uzyskać rolę WordPress przypisaną do płatnego planu bez płacenia.
- CVE-2026-80071Wysokie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.8 nie ogranicza odpowiednio, kto może tworzyć plan członkostwa, ani nie waliduje planu przypisanego do własnego konta. Uwierzytelnieni użytkownicy z uprawnieniami Author i wyższymi mogą przypisać sobie dowolną rolę i eskalować uprawnienia do Administratora.
- CVE-2026-79996Wysokie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.6 nie przeprowadza sprawdzenia uprawnień podczas zapisywania ustawień logowania. Uwierzytelnieni użytkownicy z uprawnieniami zarządzania wtyczką, ale bez pełnego dostępu administratora, mogą zmieniać dowolne opcje witryny i eskalować swoje uprawnienia do administratora.
- CVE-2026-79995Średnie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.5 nie weryfikuje, czy konto, którego oczekująca zmiana adresu e-mail jest anulowana, należy do użytkownika wykonującego żądanie. Uwierzytelnieni użytkownicy z poziomem Subscriber lub wyższym mogą anulować zmianę e-maila innych użytkowników, w tym administratorów.
- CVE-2026-16736Wysokie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.6 nie egzekwuje ustawienia wyłączającej rejestrację w witrynie podczas przetwarzania formularzy rejestracyjnych, co pozwala nieuwierzytelnionym użytkownikom na tworzenie nowych kont nawet gdy administrator wyłączył otwartą rejestrację.
Oryginalny opis (angielski, źródło NVD)
The User Registration & Membership WordPress plugin before 5.2.8 does not verify that the visitor requesting its membership confirmation page owns the account named in the request, nor that any registration or purchase has taken place, allowing unauthenticated users to retrieve another user's email address, profile fields, role and membership order details. Exploitation requires the site owner to have added a user smart tag to that page's configurable message, which the shipped default does not contain.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS