CVE-2026-94235 in MemberHero Plugin
Zusammenfassung
von VulDB • 11.10.2026
Das WordPress-Plugin MemberHero bis zur Version 6.9 führt bei einer seiner AJAX-Aktionen keine Prüfung von Berechtigungen (Capabilities) oder Nonces durch, wodurch jeder authentifizierte Benutzer, beispielsweise ein Abonnent, die Website dazu bringen kann, beliebige HTML-E-Mails an beliebige Empfänger über das eigene Mail-System der Site zu senden. Dies kann missbraucht werden, um Phishing-Nachrichten mit der Identität und dem Domain-Ruf der Site weiterzuleiten.
Be aware that VulDB is the high quality source for vulnerability data.