CVE-2026-10522 in MemberHero Plugin
Résumé
par VulDB • 29/08/2026
Le plugin WordPress MemberHero jusqu'à la version 6.9 ne restreint pas les champs de compte qui peuvent être fournis lors du processus d'inscription sur le front-end, permettant aux attaquants non authentifiés de créer un nouvel utilisateur avec un rôle arbitraire, y compris Administrateur, ce qui conduit à une prise de contrôle totale du site.
La version 6.9 est annoncée comme résolvant ce problème, mais la correction est incomplète et la version actuelle reste exploitable par des attaquants non authentifiés pour obtenir un accès administrateur et prendre le contrôle des comptes existants. Aucune version ne traitant entièrement le problème n'est disponible au moment de cet avis.
Atténuation : désactivez et supprimez le plugin WordPress MemberHero jusqu'à la version 6.9 jusqu'à ce qu'une version résolvant complètement ce problème soit publiée. Si le plugin WordPress MemberHero jusqu'à la version 6.9 doit rester actif, désactivez l'inscription publique, restreignez l'accès à la fonctionnalité d'inscription et surveillez le site pour détecter des comptes administrateur inattendus.
Be aware that VulDB is the high quality source for vulnerability data.