CVE-2026-88764

Podatność złamania kontroli dostępu (Broken Access Control) w wtyczce Simple Membership w wersjach do 4.8.2 włącznie, umożliwiająca kontom o roli autora (Contributor) dostęp do funkcji administracyjnych. Pozwala to na eskalację uprawnień.

Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie weryfikuje, czy rejestracja użytkownika się powiodła, przed użyciem zwróconej wartości jako ID użytkownika do aktualizacji konta. Pozwala to nieuwierzytelnionym atakującym na nadpisanie danych konta głównego administratora (w tym adresu e-mail) i przejęcie go przez resetowanie hasła.

Wtyczka Simple Membership dla WordPressa jest podatna na obejście uwierzytelniania prowadzące do przejęcia konta administratora w wersjach do 4.8.0 włącznie. Wynika to z nieprawidłowej weryfikacji tożsamości podczas publicznej rejestracji w środowiskach WordPress Multisite, gdzie wtyczka wiąże nowe rekordy Simple Membership z istniejącymi globalnymi użytkownikami WordPressa wyłącznie na podstawie zgodnej nazwy użytkownika i adresu e-mail, bez wymogu weryfikacji hasła lub dowodu własności, oraz nie wykrywa poprawnie ról Administratora na podrzędnych stronach. Umożliwia to nieuwierzytelnionym atakującym przejęcie kont administratora na podrzędnych stronach w sieci Multisite poprzez zarejestrowanie konta Simple Membership z danymi ofiary na stronie, gdzie publiczna rejestracja jest włączona, a następnie zaktualizowanie globalnego hasła ofiary w WordPressie przez funkcję edycji profilu. Podatność została częściowo naprawiona w wersji 4.8.1.

Wtyczka Simple Membership dla WordPressa przed wersją 4.7.7 nie weryfikuje, czy powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy przed aktywacją członkostwa. Umożliwia to nieuwierzytelnionym użytkownikom aktywację lub przedłużenie członkostwa przy użyciu płatności dokonanej na dowolne konto PayPal, które kontrolują.

Nieuwierzytelnione złamanie kontroli dostępu w Simple Membership w wersjach do 4.7.8.

Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie oczyszcza wartości nazwy subskrybenta otrzymanej z nieuwierzytelnionego żądania zatwierdzenia płatności ani nie escapuje jej podczas wyświetlania w panelu administracyjnym. Pozwala to nieuwierzytelnionym atakującym na przechowywanie dowolnego kodu JavaScript, który wykonuje się w sesji administratora.

Wtyczka Simple Membership dla WordPress przed wersją 4.7.5 nie weryfikuje autentyczności żądań webhook Stripe, gdy nie skonfigurowano tajnego klucza podpisu, ani nie zabezpiecza wartości pobranych z tych żądań przed wyświetleniem w powiadomieniu administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów web, które wykonują się w kontekście zalogowanego administratora.

W wersjach Simple Membership <= 4.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Wersje Simple Membership do 4.7.1 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.