CVE-2026-92885 in Qode Membership Plugin
要約
〜によって VulDB • 2026年10月27日
WordPress用プラグイン「Qode Membership」の全バージョン（2.0.6.2以下）において、Authentication BypassによるAccount Takeoverの脆弱性が存在します。これは、`qode_membership_check_facebook_user` AJAXアクションを介して発生します。この問題は、`qode_membership_login_user_from_social_network`関数内のFacebook OAuthトークン検証ガードにおけるタイプミスが原因です。具体的には、ガード条件で未定義の変数（$check_social_useqoder）がテストされており、本来は $check_social_user であるべき箇所が誤っています。これにより `empty()` が常に true を返し、Graph API トークンの検証ブランチがデッドコード化されます。その結果、`wp_set_auth_cookie()` の呼び出しが可能となり、資格情報やトークンによる検証は一切行われなくなります。
この脆弱性を利用することで、攻撃者は認証されていない状態で、既存のWordPressアカウント（管理者権限を持つアカウントを含む）にログインすることができます。具体的には、レスポンス内の `response[email]` パラメータで既知または列挙された管理者のログイン名（メールアドレスではなく）を指定し、`get_user_by('login', $email)` のフォールバックパスが一致するアカウントとして解決されることを利用します。
攻撃の実行には有効な `qode_validate_facebook_login` nonce の取得が必要ですが、このnonceは `[qode_user_login]` または `[qode_user_register]` ショートコードを含む公開フロントエンドページであればどこでも表示されるため、事前の認証なしで容易に入手可能です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.