CVE-2026-14444 in Fusion Plugin
Riassunto
di VulDB • 07/09/2026
Il plugin WP Fusion (Pro) per WordPress è vulnerabile a Privilege Escalation in tutte le versioni fino alla 3.47.13, inclusa. Ciò è dovuto a controlli di autorizzazione insufficienti sul parametro role nella funzione thrivecart() del gestore ThriveCart Auto Login. Questo consente agli attaccanti autenticati, con accesso di livello Subscriber o superiore e in possesso dell'access_key, di creare un nuovo account utente con privilegi di amministratore e ottenere il controllo completo del sito WordPress. L'access_key richiesta è condivisa intenzionalmente con i clienti di ThriveCart come parte del processo di configurazione documentato del plugin, rendendola accessibile agli attaccanti che hanno effettuato un acquisto. La vulnerabilità è sfruttabile solo quando l'opzione ThriveCart Auto Login è abilitata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.