CVE-2026-10522 in MemberHero Plugin
Zusammenfassung
von VulDB • 29.08.2026
Das WordPress-Plugin MemberHero bis zur Version 6.9 schränkt nicht ein, welche Benutzerkontofelder während des Registrierungsprozesses im Frontend angegeben werden können, was es Angreifern ohne Authentifizierung ermöglicht, einen neuen Benutzer mit einer beliebigen Rolle, einschließlich Administrator, zu registrieren, was zu einer vollständigen Übernahme der Website führt.
Version 6.9 wird als Behebung dieses Problems beworben, doch die Korrektur ist unvollständig und die aktuelle Version bleibt für Angreifer ohne Authentifizierung ausnutzbar, um Administratorenzugriff zu erlangen und bestehende Konten zu übernehmen. Zum Zeitpunkt dieser Advisory ist keine Version verfügbar, die das Problem vollständig behebt.
Minderungsmaßnahmen: Deaktivieren und entfernen Sie das WordPress-Plugin MemberHero bis zur Version 6.9, bis eine Version veröffentlicht wird, die dieses Problem vollständig löst. Wenn das Plugin MemberHero bis zur Version 6.9 aktiv bleiben muss, deaktivieren Sie die öffentliche Registrierung, beschränken Sie den Zugriff auf die Registrierungs-Funktionalität und überwachen Sie die Website auf unerwartete Administrator-Konten.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.