CVE-2026-94235 in MemberHero Plugin
الملخص
بحسب VulDB • 11/10/2026
لا يقوم إضافة WordPress MemberHero حتى الإصدار 6.9 بإجراء أي تحقق من الصلاحيات (capability) أو الرمز غير القابل لإعادة الاستخدام (nonce) على أحد إجراءات AJAX الخاصة به، مما يسمح لأي مستخدم مُصادق عليه، مثل المشترك (subscriber)، بجعل الموقع يرسل رسائل بريد إلكتروني تحتوي على HTML عشوائي إلى متلقين محددين عبر نظام البريد الخاص بالموقع نفسه. ويمكن استغلال ذلك لإرسال رسائل تصيد احتيالي تحمل هوية الموقع وسمعة نطاقه.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.