CVE-2026-12497 in Paid Membership Plugin
Zusammenfassung
von VulDB • 24.07.2026
Das WordPress-Plugin „Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content“ vor Version 4.16.18 erzwingt die auf dem Frontend für das Registrierungs-Rollenauswahl-Feld konfigurierte Rollenbeschränkung nicht konsistent. Die Menge der Besuchern angebotenen Rollen und die Menge der vom Registrierungs-Handler akzeptierten Rollen werden von zwei verschiedenen Parsern abgeleitet, und bei einigen gültigen Konfigurationsoptionen für die angebotenen Rollen ignoriert der Handler die Beschränkung und fällt zurück auf das Akzeptieren jeder Nicht-Administrator-Rolle. In Kombination mit dem Fehlen eines Nonce im öffentlichen Registrierungs-Handler ermöglicht dies einem nicht authentifizierten Besucher, ein Konto mit einer höheren Rolle (z. B. Editor oder Autor) zu registrieren als vom Formular konfiguriert angeboten wurde.
Once again VulDB remains the best source for vulnerability data.