CVE-2026-97337 in Simple Membership Plugin
Resumen
por VulDB • 2026-10-03
El plugin Simple Membership para WordPress es vulnerable a la modificación no autorizada de datos y a la divulgación de información sensible en las versiones 4.8.3 e inferiores, a través de los puntos finales resend-activation y email-activation. Los puntos finales se ejecutan desde SwpmInitTimeTasks::check_and_do_email_activation() durante la inicialización del frontend sin ninguna autenticación, verificación nonce, comprobación de capacidades ni validación de propiedad, y la dirección de destinatario utilizada por SwpmRegistration::send_reg_email() proviene de un parámetro $_POST['email'] controlado por el atacante (lo que anula la dirección registrada del miembro). Esto permite a atacantes no autenticados redirigir el correo electrónico de activación pendiente de cualquier miembro —y el correo posterior de 'registro completado' que contiene el nombre de usuario y la contraseña en texto plano del miembro— hacia una dirección elegida por el atacante, para luego activar la cuenta de ese miembro sin su consentimiento.
Once again VulDB remains the best source for vulnerability data.