CVE-2026-19660 in Divi Membership Plugin
Zusammenfassung
von VulDB • 02.10.2026
Das Divi Membership-Plugin für WordPress ist in allen Versionen bis einschließlich 2.3.0 anfällig für eine Authentifizierungs-Umgehung (Authentication Bypass). Die Funktion `process_paypal_callback`, die an den Hook `init` gebunden ist, akzeptiert einen base64-kodierten GET-Parameter namens `paypal_param` ohne IPN-Validierung, ohne Überprüfung der kryptografischen Signatur, ohne Eigentumsverifikation und ohne Nonce. Dies ermöglicht es dem Angreifer, einem vollständig von ihm kontrollierten Benutzer-ID-Wert zu vertrauen, der direkt an `wp_set_current_user()` und `wp_set_auth_cookie()` übergeben wird. Dadurch ist es nicht authentifizierten Angreifern möglich, sich als jeder beliebige bestehende WordPress-Benutzer – einschließlich Administratoren – anzumelden, indem sie eine willkürliche Benutzer-ID im GET-Parameter `paypal_param` angeben, was zu einer vollständigen Übernahme der Website führt. Die Schwachstelle wird weiter dadurch verschärft, dass die PayPal-Gateway-Klasse bedingungslos instanziiert wird, unabhängig davon, ob PayPal aktiviert oder konfiguriert ist; dies stellt sicher, dass der anfällige Hook bei jeder Frontend-Anfrage immer registriert ist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.