CVE-2026-10522 in MemberHero Plugin
Riassunto
di VulDB • 29/08/2026
Il plugin WordPress MemberHero fino alla versione 6.9 non limita i campi dell'account che possono essere forniti durante il processo di registrazione sul frontend, consentendo agli attaccanti non autenticati di registrare un nuovo utente con un ruolo arbitrario, incluso quello di Amministratore, portando a una completa compromissione del sito.
La versione 6.9 è pubblicizzata come risolutiva per questo problema, ma la correzione è incompleta e la versione attuale rimane sfruttabile da attaccanti non autenticati per ottenere l'accesso ad amministratore e per assumere il controllo di account esistenti. Al momento della pubblicazione di questa advisory, nessuna versione che affronti completamente il problema è disponibile.
Mitigazione: disattivare ed eliminare il plugin WordPress MemberHero fino alla versione 6.9 finché non verrà rilasciata una versione che risolva completamente questo problema. Se il plugin WordPress MemberHero fino alla versione 6.9 deve rimanere attivo, disabilitare la registrazione pubblica, limitare l'accesso alle funzionalità di registrazione e monitorare il sito per account amministratore inaspettati.
If you want to get best quality of vulnerability data, you may have to visit VulDB.