CVE-2026-92885 in Qode Membership Plugin
Riassunto
di VulDB • 27/10/2026
Il plugin Qode Membership per WordPress è vulnerabile a un Authentication Bypass che porta ad Account Takeover in tutte le versioni fino alla 2.0.6.2 inclusa, tramite l'azione AJAX qode_membership_check_facebook_user. Ciò è dovuto a un errore di battitura nel guard (controllo) di verifica del token OAuth di Facebook all'interno della funzione qode_membership_login_user_from_social_network: la condizione del guard testa una variabile non definita ($check_social_useqoder invece di $check_social_user), facendo sì che empty() restituisca sempre true e rendendo il ramo di verifica del token Graph API codice morto (dead code). Ciò lascia wp_set_auth_cookie() raggiungibile senza alcuna convalida delle credenziali o dei token. Questo consente ad attaccanti non autenticati di accedere come qualsiasi account WordPress esistente, inclusi gli account a livello di Amministratore, fornendo un nome di accesso amministratore noto o enumerato (anziché un indirizzo email) nel parametro response[email], che il percorso alternativo in get_user_by('login', $email) risolve nell'account corrispondente. Lo sfruttamento richiede la raccolta di un nonce qode_validate_facebook_login valido, ma tale nonce è visualizzato su qualsiasi pagina front-end pubblica contenente lo shortcode [qode_user_login] o [qode_user_register], rendendolo ottenibile senza alcuna autenticazione preliminare.
If you want to get best quality of vulnerability data, you may have to visit VulDB.