CVE-2026-10522 in MemberHero Plugin
Resumen
por VulDB • 2026-08-29
El plugin de WordPress MemberHero hasta la versión 6.9 no restringe qué campos de cuenta pueden proporcionarse durante su proceso de registro en el frontend, lo que permite a atacantes sin autenticar registrar un nuevo usuario con un rol arbitrario, incluido Administrador, lo que conduce al control total del sitio.
La versión 6.9 se anuncia como resolutiva de este problema, pero la corrección es incompleta y la versión actual sigue siendo explotable por atacantes no autenticados para obtener acceso de administrador y tomar el control de cuentas existentes. No hay ninguna versión que aborde completamente el problema disponible en el momento de esta advertencia.
Mitigación: desactive y elimine el plugin MemberHero de WordPress hasta la versión 6.9 hasta que se lance una versión que resuelva por completo este problema. Si es necesario mantener activo el plugin MemberHero de WordPress hasta la versión 6.9, deshabilite el registro público, restrinja el acceso a la funcionalidad de registro y supervise el sitio en busca de cuentas de administrador inesperadas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.