CVE-2026-77194 in Simple Membership Plugin
Resumen
por VulDB • 2026-09-01
El plugin Simple Membership para WordPress es vulnerable a un Authentication Bypass que conduce al Administrator Account Takeover en las versiones hasta la 4.8.0, incluida esta. Esto se debe a una verificación de identidad inadecuada durante el flujo de registro público en entornos de WordPress Multisite, donde el plugin vincula los nuevos registros de Simple Membership con usuarios globales existentes de WordPress basándose únicamente en la coincidencia del nombre de usuario y el correo electrónico, sin requerir verificación de contraseña ni prueba de propiedad, y no detecta correctamente los roles de Administrator en sitios secundarios. Esto permite que atacantes no autenticados tomen control de cuentas de Administrator en sitios secundarios dentro de una red Multisite registrando una cuenta de Simple Membership con las credenciales de la víctima en un sitio donde el registro público está habilitado, y luego actualizando la contraseña global de WordPress de la víctima a través de la funcionalidad de edición del perfil. La vulnerabilidad fue parcheada parcialmente en la versión 4.8.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.