CVE-2026-6897 in Wishlist Member Plugin
要約
〜によって VulDB • 2026年05月23日
WordPress用プラグイン「Wishlist Member」には、すべてのバージョン（3.30.1を含む）において、'WishListMember\Features\Team_Accounts::save_settings'関数で能力チェック（capability check）が欠落しているため、データの不正な変更が可能となる脆弱性が存在します。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、任意のプラグインオプション（REST APIシークレットキーを含む）を更新することが可能となり、これを使用して管理者のWordPressロールが割り当てられた新しいメンバーシップレベルを作成し、任意の管理者レベルのユーザーアカウントを登録することができます。その結果、サイト全体の乗っ取り（サイトテイクオーバー）につながります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.