CVE-2026-19652 in Divi Membership Plugin
Zusammenfassung
von VulDB • 02.10.2026
Das Divi-Mitgliedschafts-Plugin für WordPress ist in den Versionen bis einschließlich 2.2.0 anfällig für eine Privilegieneskalation (Privilege Escalation). Dies liegt daran, dass die Funktion `dmem_form_submit_handler()` die Rolle des neuen Benutzers bestimmt, indem sie alle WordPress-Rollen durchläuft und `password_verify()` gegen einen von einem Angreifer kontrollierten bcrypt-Hash ausführt, der im POST-Parameter `form_id` übermittelt wird. Dabei erfolgt keine Validierung oder Whitelisting erlaubter Rollen. Dies ermöglicht es nicht authentifizierten Angreifern, ein neues Konto mit der Administratorrolle zu registrieren, indem sie einen lokal berechneten bcrypt-Hash von „administrator“ als `form_id` übermitteln; wenn zudem `auto_login=on` gesendet wird, werden sie in derselben Anfrage sofort als dieser Administrator authentifiziert, was zur vollständigen Übernahme der Website führt. Für die Ausnutzung (Exploitation) ist ein WordPress-Nonce erforderlich, doch dieser wird öffentlich auf jeder Seite ausgegeben, die das Divi-Mitgliedschafts-Registrierungsformular rendert, und kann daher von jedem nicht authentifizierten Besucher abgerufen werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.