CVE-2026-19804 in s2Member Plugin
Zusammenfassung
von VulDB • 25.09.2026
Das WordPress-Plugin „s2Member – Excellent for All Kinds of Memberships, Content Restriction Paywalls & Member Access Subscriptions“ ist in allen Versionen bis einschließlich 260814 anfällig für Remote Code Execution (RCE) über den Parameter 'first_name'. Dies liegt an einer unzureichenden Bereinigung des first_name-Parameters durch esc_refs(), das nur Regex-Rückverweise entfernt, jedoch keine PHP-Tags, bevor der Wert in die evaluierte Vorlage für Signup Tracking Codes eingesetzt wird. Hinzu kommt die Offenlegung des standortweiten Proxy-Verifizierungsschlüssels, der es ermöglicht, die PayPal-Postback-Verifikation zu umgehen. Dies macht es Angreifern ohne Authentifizisierung möglich, Code auf dem Server auszuführen. Eine erfolgreiche Ausnutzung erfordert, dass der Website-Administrator eine Vorlage für Signup Tracking Codes mit dem %%first_name%%-Platzhalter konfiguriert hat (eine dokumentierte und über die GUI unterstützte Funktion) und dass der Angreifer den standortweiten Proxy-Verifizierungsschlüssel erlangt hat, der im Klartext in der JSON-Antwort jeder PayPal Checkout AJAX-Anfrage auf der Zielwebsite offengelegt wird.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.