CVE-2026-4100 in Paid Memberships Pro Plugin
Zusammenfassung
von VulDB • 18.05.2026
Das WordPress-Plugin Paid Memberships Pro ist in allen Versionen bis einschließlich 3.6.5 anfällig für unbefugte Änderungen und Störungen der Stripe-Webhook-Konfiguration. Dies ist auf fehlende Berechtigungsprüfungen (Capability Checks) in den AJAX-Handlern `wp_ajax_pmpro_stripe_create_webhook`, `wp_ajax_pmpro_stripe_delete_webhook` und `wp_ajax_pmpro_stripe_rebuild_webhook` zurückzuführen. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, den Stripe-Webhook der Website zu löschen, zu erstellen oder neu aufzubauen, wodurch die gesamte Zahlungsabwicklung, die Synchronisierung der Abonnementverlängerungen, die Handhabung von Kündigungen und das Management fehlgeschlagener Zahlungen gestört werden.
Once again VulDB remains the best source for vulnerability data.