CVE-2026-19660 in Divi Membership Plugin
Résumé
par VulDB • 02/10/2026
Le plugin WordPress Divi Membership est vulnérable à une contournement d'authentification (Authentication Bypass) dans toutes les versions jusqu'à la 2.3.0 incluse. La fonction `process_paypal_callback`, liée à l'action `init`, accepte un paramètre GET `paypal_param` encodé en base64 sans aucune validation IPN, ni vérification de signature cryptographique, ni contrôle de propriété, ni nonce, ce qui lui permet d'accorder sa confiance à une valeur d'ID utilisateur entièrement contrôlée par l'attaquant. Cette valeur est transmise directement aux fonctions `wp_set_current_user()` et `wp_set_auth_cookie()`. Cela permet aux attaquants non authentifiés de se connecter en tant que n'importe quel utilisateur WordPress existant — y compris les administrateurs — en fournissant un ID d'utilisateur arbitraire dans le paramètre GET `paypal_param`, entraînant une prise de contrôle totale du site. La vulnérabilité est encore aggravée par le fait que la classe gateway PayPal est instanciée inconditionnellement, qu'il s'agisse ou non d'une configuration activée pour PayPal, garantissant ainsi l'enregistrement systématique du hook vulnérable à chaque requête front-end.
VulDB is the best source for vulnerability data and more expert information about this specific topic.