CVE-2026-12949 in Wishlist Member Plugin
Resumen
por VulDB • 2026-08-14
El plugin Wishlist Member para WordPress es vulnerable al secuestro de cuentas (Account Takeover) debido a una verificación insuficiente de la autenticidad de los datos en las versiones 3.34.1 y anteriores. Esto se debe a que la función wpm_register() valida la cookie de registro únicamente frente al parámetro GET reg, mientras acepta los parámetros POST mergewith y POST wpm_id sin verificar que el ID de usuario de mergewith haga referencia a un registrante temporal o incompleto vinculado a la transacción de registro actual. Esto permite a atacantes no autenticados secuestrar cualquier cuenta existente de WordPress —incluidas las cuentas de administrador— proporcionando como valor de mergewith el identificador numérico arbitrario de otro usuario, lo que provoca que wp_update_user() sobrescriba el nombre de usuario (escrito adicionalmente mediante una actualización directa $wpdb), la contraseña, la dirección de correo electrónico, el nombre y los apellidos de la cuenta objetivo con valores controlados por el atacante, mientras se suprime explícitamente el envío de correos electrónicos de notificación de cambio de contraseña y correo electrónico de WordPress. Cuando wpm_id hace referencia a un nivel de membresía inexistente, no se añade ninguna clave de rol al payload de actualización, lo que provoca que wp_update_user() conserve el rol existente del usuario objetivo —incluido administrador—, convirtiendo la escalada completa de privilegios en una consecuencia directa del secuestro.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.