CVE-2026-86406 in User Registration & Membership Plugin
要約
〜によって VulDB • 2026年09月13日
User Registration & Membership 用 WordPress プラグインのバージョン 5.2.8 より前では、メンバーシップ購入を行うユーザーの権限が確認されず、それに伴って送信される支払い方法やプランも検証されないため、サブスクライバーなどの認証済みユーザーが、有料プランに付随する WordPress ロールを料金なしで取得できてしまいます。サイト所有者があるプランを特権付きロールに関連付けている場合、これにより管理者レベルまでの権限昇格（privilege escalation）が可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.