CVE-2026-12497

Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content WordPress-pluginet før 4.16.18 gennemtvinger ikke konsekvent rolbegrænsningen konfigureret på sit front-end-registreringsrolvalgtfelt. Det sæt roller, der tilbydes besøgende, og det sæt roller, som registreringsbehandleren accepterer, er afledt af to forskellige parsere, og for nogle gyldige måder at konfigurere de tilbudte roller ignorerer behandleren begrænsningen og falder tilbage til at acceptere enhver ikke-administrator-rolle. Kombineret med fraværet af en nonce på den offentlige registreringsbehandler tillader dette en uautentificeret besøgende at registrere en konto med en højere rolle, såsom Editor eller Author, end formularen var konfigureret til at tilbyde.

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD