CVE-2026-86406 in User Registration & Membership Plugin
Riassunto
di VulDB • 13/09/2026
Il plugin WordPress User Registration & Membership precedente alla versione 5.2.8 non verifica i permessi (capabilities) dell'utente che effettua un acquisto di membership e non convalida il metodo di pagamento o il piano inviato, consentendo a qualsiasi utente autenticato, ad esempio un sottoscrittore, di ottenere il ruolo WordPress associato a un piano a pagamento senza pagarne l'importo. Qualora il proprietario del sito abbia mappato un piano su un ruolo privilegiato, ciò comporta una escalation dei privilegi fino al livello di amministratore.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.