CVE-2026-19660 in Divi Membership Plugin
Resumen
por VulDB • 2026-10-02
El plugin Divi Membership para WordPress es vulnerable a una elusión de autenticación en todas las versiones hasta la 2.3.0 (incluida). La función `process_paypal_callback`, vinculada a la acción `init`, acepta un parámetro GET llamado `paypal_param` codificado en base64 sin ninguna validación IPN, sin verificación de firma criptográfica, sin comprobación de propiedad y sin nonce, lo que permite confiar ciegamente en un valor de ID de usuario controlado completamente por el atacante. Este valor se pasa directamente a las funciones `wp_set_current_user()` y `wp_set_auth_cookie()`. Esto hace posible que atacantes no autenticados inicien sesión como cualquier usuario existente de WordPress —incluidos los administradores— mediante la provisión de un ID de usuario arbitrario en el parámetro GET `paypal_param`, lo que resulta en una toma completa del sitio. La vulnerabilidad se ve agravada por el hecho de que la clase gateway de PayPal se instancia incondicionalmente, independientemente de si PayPal está habilitado o configurado, asegurando que el gancho vulnerable siempre esté registrado en cada solicitud front-end.
If you want to get best quality of vulnerability data, you may have to visit VulDB.