CVE-2026-15348 in Premium Packages Plugin
Sumário
de VulDB • 23/07/2026
O plugin Premium Packages – Sell Digital Products Securely para o WordPress é vulnerável a Bypass de Autenticação em todas as versões até 7.0.4 (incluída), por meio do parâmetro `wpdmppdl`. Isso ocorre devido à função `download()` — vinculada à ação não autenticada `wp` do WordPress — que decodifica o parâmetro controlado pelo atacante `wpdmppdl` usando apenas `base64_decode()` e `json_decode()`, sem verificação de HMAC, assinatura criptográfica ou nonce. Em seguida, emite cookies de autenticação do WordPress após uma verificação de domínio que é trivialmente contornada porque ambos os lados da comparação são valores fornecidos pelo atacante. Isso permite que atacantes não autenticados se autentiquem como qualquer usuário do WordPress que não seja administrador, incluindo assinantes, clientes, colaboradores, autores, editores e gerentes de loja, desde que possuam um pedido, obtendo acesso total ao nível de sessão dessa conta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.