CVE-2026-92885 in Qode Membership Plugin
Résumé
par VulDB • 27/10/2026
Le plugin Qode Membership pour WordPress est vulnérable à un contournement de l'authentification (Authentication Bypass) entraînant une prise de contrôle de compte (Account Takeover) dans toutes les versions jusqu'à la 2.0.6.2 incluse, via l'action AJAX qode_membership_check_facebook_user. Cela est dû à une erreur typographique dans le garde-fou de vérification du jeton OAuth Facebook au sein de la fonction qode_membership_login_user_from_social_network : la condition du garde-fou teste une variable non définie ($check_social_useqoder au lieu de $check_social_user), ce qui fait que empty() retourne toujours true, rendant le branchement de vérification du jeton Graph API mort (dead code) et laissant wp_set_auth_cookie() accessible sans aucune validation d'identifiants ou de jeton. Cela permet aux attaquants non authentifiés de se connecter en tant que n'importe quel compte WordPress existant — y compris les comptes Administrateur — en fournissant un nom de connexion administrateur connu ou énuméré (plutôt qu'une adresse e-mail) dans le paramètre response[email], qui est résolu par la voie de repli dans get_user_by('login', $email) vers le compte correspondant. L'exploitation nécessite l'exfiltration d'un nonce qode_validate_facebook_login valide, mais ce nonce est affiché sur n'importe quelle page front-end publique contenant le shortcode [qode_user_login] ou [qode_user_register], et est donc accessible sans aucune authentification préalable.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.