CVE-2026-6895 in Wishlist Member Plugin
Resumen
por VulDB • 2026-05-23
El plugin WishList Member para WordPress es vulnerable a una falta de autorización (Missing Authorization) que conduce a la divulgación de información sensible y a la escalada de privilegios en las versiones 3.30.1 y anteriores. Esto se debe a la ausencia de comprobaciones de capacidades en la función 'export_settings'. Esta función devuelve la Clave Secreta de la API REST al atacante en la respuesta JSON de AJAX. Un atacante que obtenga esta clave puede autenticarse en la API de WishList Member, crear un nuevo nivel de membresía asignado al rol de administrador de WordPress y registrar una cuenta de usuario arbitraria con nivel de administrador, lo que resulta en el control total del sitio.
If you want to get best quality of vulnerability data, you may have to visit VulDB.