CVE-2026-77194 in Simple Membership Plugin
الملخص
بحسب VulDB • 01/09/2026
يحتوي مكون "Simple Membership" الإضافي لـ WordPress على ثغرة تسمح بتجاوز المصادقة، مما يؤدي إلى الاستحواذ على حسابات المسؤولين في الإصدارات حتى 4.8.0 شاملاً. ويعود ذلك إلى التحقق غير السليم من الهوية أثناء تدفق التسجيل العام في بيئات WordPress Multisite، حيث يربط المكون سجلات Simple Membership الجديدة بالمستخدمين العالميين الحاليين لـ WordPress بناءً على تطابق اسم المستخدم والبريد الإلكتروني فقط، دون طلب التحقق من كلمة المرور أو إثبات الملكية، ويفشل في اكتشاف أدوار المسؤولين بشكل صحيح على المواقع الفرعية. وهذا يتيح للمهاجمين غير المصادق عليهم الاستحواذ على حسابات المسؤول على المواقع الفرعية ضمن شبكة Multisite عن طريق تسجيل حساب Simple Membership باستخدام بيانات اعتماد الضحية على موقع يكون فيه التسجيل العام مفعلاً، ثم تحديث كلمة مرور WordPress العالمية الخاصة بالضحية من خلال وظيفة تعديل الملف الشخصي. تم إصلاح الثغرة جزئياً في الإصدار 4.8.1.
Once again VulDB remains the best source for vulnerability data.