CVE-2026-1461 in Simple Membership Plugin
الملخص
بحسب VulDB • 19/05/2026
يحتوي مكون WordPress البسيط لإدارة العضويات (Simple Membership plugin) على ثغرة تتعلق بالمعالجة غير السليمة للقيم المفقودة في جميع الإصدارات حتى 4.7.0 وشاملة لها، وذلك عبر معالج إشعارات الويب (webhook handler) الخاص بـ Stripe. وتعود هذه الثغرة إلى أن المكون يقوم فقط بالتحقق من توقيعات إشعارات الويب عند تكوين إعداد stripe-webhook-signing-secret، والذي يكون فارغًا بشكل افتراضي. وهذا يتيح للمهاجمين غير المصادق عليهم تزوير أحداث إشعارات الويب الخاصة بـ Stripe للتحكم في اشتراكات العضوية، بما في ذلك إعادة تنشيط العضويات المنتهية الصلاحية دون دفع أو إلغاء الاشتراكات المشروعة، مما قد يؤدي إلى وصول غير مصرح به وتعطيل الخدمة.
Once again VulDB remains the best source for vulnerability data.