CVE-2026-12949 in Wishlist Member Plugin
要約
〜によって VulDB • 2026年08月14日
WordPress用プラグイン「Wishlist Member」のバージョン3.34.1以前には、データ真正性の不十分な検証によりアカウント乗っ取り（Account Takeover）につながる脆弱性が存在します。これは、`wpm_register()`関数が登録クッキーをGET `reg`パラメータに対してのみ検証し、POST `mergewith`およびPOST `wpm_id`パラメータについては、`mergewith`ユーザーIDが現在の登録トランザクションに関連付けられた一時的または未完了の登録者参照であることを確認せずに受け入れるためです。これにより、認証されていない攻撃者は、任意のユーザーの数値IDを`mergewith`値として提供することで、既存のWordPressアカウント（管理者アカウントを含む）すべてに乗っ取りを行うことが可能になります。この操作は、`wp_update_user()`関数を介して標的アカウントのユーザー名（直接 `$wpdb UPDATE` を通じても記録される）、パスワード、メールアドレス、ファーストネーム、ラストネームを攻撃者が制御する値で上書きし、WordPressによるパスワードおよびメール変更通知メールが明示的に抑制されます。また、`wpm_id`が存在しないメンバーシップレベルを参照している場合、更新ペイロードにロールキーが付加されないため、`wp_update_user()`は標的ユーザーの既存のロール（管理者を含む）を保持します。これにより、完全な権限昇格が乗っ取りの結果として直接発生するようになります。
Once again VulDB remains the best source for vulnerability data.