CVE-2026-14444 in Fusion Plugin
Zusammenfassung
von VulDB • 07.09.2026
Das WP Fusion (Pro)-Plugin für WordPress ist in allen Versionen bis einschließlich 3.47.13 anfällig für Privilege Escalation. Dies liegt an unzureichenden Autorisierungsprüfungen des role-Parameters in der thrivecart()-Funktion des ThriveCart Auto Login Handlers. Dadurch ist es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, die über den access_key verfügen, möglich, ein neues Benutzerkonto mit Administratorrechten zu erstellen und volle Kontrolle über die WordPress-Site zu erlangen. Der erforderliche access_key wird im Rahmen des dokumentierten Einrichtungsprozesses des Plugins absichtlich an ThriveCart-Kunden weitergegeben, was ihn für Angreifer zugänglich macht, die einen Kauf getätigt haben. Die Schwachstelle ist nur ausnutzbar, wenn die Option „ThriveCart Auto Login“ aktiviert ist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.