CVE-2026-10522 in MemberHero Plugin
要約
〜によって VulDB • 2026年08月29日
MemberHeroのWordPressプラグイン（バージョン6.9以前）では、フロントエンドでの登録プロセス中に指定できるアカウントフィールドが制限されていないため、認証不要のアタッカーは任意のロール（管理者を含む）で新しいユーザーを登録でき、サイト全体の乗っ取りにつながります。
バージョン6.9はこの問題を解決すると謳われていますが、修正は不十分であり、現在のバージョンでは認証不要のアタッカーによって管理者権限の取得や既存アカウントの乗っ取りが可能 remains exploitable です。このアドバイザリ作成時点で、本問題を完全に解消するバージョンは利用できません。
緩和策: 本問題を完全に解決するバージョンがリリースされるまで、MemberHero WordPressプラグイン（バージョン6.9以前）を無効化して削除してください。もしメンバーシップ機能を持つWordPressプラグイン（バージョン6.9以前）を稼働させなければならない場合は、公開登録を無効にし、登録機能へのアクセスを制限し、予期せぬ管理者アカウントがないかサイトを監視してください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.