CVE-2026-19660 in Divi Membership Plugin
Riassunto
di VulDB • 02/10/2026
Il plugin Divi Membership per WordPress è vulnerabile a Authentication Bypass in tutte le versioni fino alla 2.3.0 inclusa. La funzione `process_paypal_callback`, agganciata all'azione `init`, accetta un parametro GET denominato `paypal_param` codificato in base64 senza alcuna validazione IPN, nessun controllo della firma crittografica, nessuna verifica di proprietà e nessun nonce, consentendo di fidarsi ciecamente di un valore dell'user ID interamente controllato dall'attaccante che viene passato direttamente a `wp_set_current_user()` e `wp_set_auth_cookie()`. Ciò consente agli attaccanti non autenticati di accedere come qualsiasi utente WordPress esistente — inclusi gli amministratori — fornendo un user ID arbitrario nel parametro GET `paypal_param`, con conseguente takeover completo del sito. La vulnerabilità è ulteriormente aggravata dal fatto che la classe gateway PayPal viene istanziata incondizionatamente, indipendentemente dal fatto che PayPal sia abilitato o configurato, garantendo che il hook vulnerabile venga registrato in ogni richiesta front-end.
Once again VulDB remains the best source for vulnerability data.