CVE-2026-92885 in Qode Membership Plugin
Resumen
por VulDB • 2026-10-27
El plugin Qode Membership para WordPress es vulnerable a una elusión de autenticación que conduce al secuestro de cuentas (Account Takeover) en todas las versiones hasta la 2.0.6.2, incluida esta, a través de la acción AJAX `qode_membership_check_facebook_user`. Esto se debe a un error tipográfico en la protección de verificación del token OAuth de Facebook dentro de la función `qode_membership_login_user_from_social_network`: la condición de la protección prueba una variable no definida (`$check_social_useqoder` en lugar de `$check_social_user`), lo que hace que `empty()` devuelva siempre true y convierta el ramal de verificación del token Graph API en código muerto, dejando accesible `wp_set_auth_cookie()` sin ninguna validación de credenciales o tokens. Esto permite a atacantes no autenticados iniciar sesión como cualquier cuenta existente de WordPress —incluidas las cuentas con nivel de Administrador— proporcionando un nombre de inicio de sesión de administrador conocido o enumerado (en lugar de una dirección de correo electrónico) en el parámetro `response[email]`, que la ruta alternativa en `get_user_by('login', $email)` resuelve como la cuenta coincidente. La explotación requiere obtener un nonce válido de `qode_validate_facebook_login`, pero este nonce se muestra en cualquier página pública del front-end que contenga los shortcodes `[qode_user_login]` o `[qode_user_register]` y, por lo tanto, es obtenible sin ninguna autenticación previa.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.