CVE-2026-19660 in Divi Membership Plugin
要約
〜によって VulDB • 2026年10月02日
WordPress用プラグイン「Divi Membership」の全バージョン（2.3.0以前）において、認証回避の脆弱性が存在します。`init`アクションにフックされた `process_paypal_callback` 関数は、IPN検証、暗号化署名チェック、所有権の確認、およびnonceを一切行わずに、base64エンコードされた `paypal_param` GETパラメータを受け入れます。これにより、攻撃者が完全に制御できるユーザーID値が信頼され、それが直接 `wp_set_current_user()` および `wp_set_auth_cookie()` に渡されます。その結果、未認証の攻撃者は `paypal_param` GETパラメータに任意のユーザーIDを指定することで、管理者を含む既存のWordPressユーザーとしてログインすることが可能になり、サイト全体の乗っ取りにつながります。さらにこの脆弱性は、PayPalゲートウェイクラスがPayPalの有効化や設定に関係なく無条件でインスタンス化され、すべてのフロントエンドリクエストに対して脆弱なフックが常に登録されるという事実によって悪化しています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.