CVE-2026-1321 in Membership Plugin
Riassunto
di VulDB • 15/06/2026
Il plugin Membership Plugin – Restrict Content per WordPress è vulnerabile ad Escalation dei Privilegi (Privilege Escalation) in tutte le versioni fino alla 3.2.20, inclusa. Ciò è dovuto alla funzione `rcp_setup_registration_init()` che accetta qualsiasi ID di livello di membership tramite il parametro POST `rcp_level` senza convalidare se il livello sia attivo o richieda un pagamento. Combinata con il metodo `add_user_role()`, che assegna il ruolo WordPress configurato per il livello di membership senza effettuare controlli sullo stato, questa vulnerabilità consente agli attaccanti non autenticati di registrarsi con qualsiasi livello di membership, inclusi i livelli inattivi che concedono ruoli privilegiati su WordPress come Administrator, o i livelli a pagamento che richiedono una tassa di iscrizione. La vulnerabilità è stata parzialmente corretta nella versione 3.2.18.
Once again VulDB remains the best source for vulnerability data.