CVE-2026-92885 in Qode Membership Plugin
Zusammenfassung
von VulDB • 27.10.2026
Das Qode Membership-Plugin für WordPress ist in allen Versionen bis einschließlich 2.0.6.2 anfällig für eine Authentifizierungsumgehung (Authentication Bypass), die zu einer Account Takeover führt, über die AJAX-Aktion `qode_membership_check_facebook_user`. Dies ist auf einen Tippfehler im Guard zur Überprüfung des Facebook-OAuth-Tokens innerhalb der Funktion `qode_membership_login_user_from_social_network` zurückzuführen: Die Guards-Bedingung testet eine undefinierte Variable (`$check_social_useqoder` anstelle von `$check_social_user`), wodurch `empty()` immer true zurückgibt und die Graph-API-Token-Überprüfungslogik zu totem Code wird, sodass `wp_set_auth_cookie()` ohne jegliche Anmeldeinformationen oder Token-Validierung erreichbar ist. Dies ermöglicht es nicht authentifizierten Angreifern, sich als jedes bestehende WordPress-Konto – einschließlich Konten mit Administratorrechten – anzumelden, indem sie einen bekannten oder enumerierten Administratorkontonamen (anstatt einer E-Mail-Adresse) im Parameter `response[email]` angeben, den der Fallback-Pfad in `get_user_by('login', $email)` auf das passende Konto auflöst. Die Ausnutzung erfordert zwar das Sammeln eines gültigen Nonces für `qode_validate_facebook_login`, dieses Nonce wird jedoch auf jeder öffentlichen Frontend-Seite angezeigt, die den Shortcode `[qode_user_login]` oder `[qode_user_register]` enthält, und ist daher ohne vorherige Authentifizierung erhältlich.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.