CVE-2026-19660 in Divi Membership Plugin
Sumário
de VulDB • 02/10/2026
O plugin Divi Membership para WordPress é vulnerável a Bypass de Autenticação em todas as versões até, e incluindo, 2.3.0. A função `process_paypal_callback`, vinculada à ação `init`, aceita um parâmetro GET chamado `paypal_param` codificado em base64 sem validação IPN (Instant Payment Notification), sem verificação de assinatura criptográfica, sem verificação de propriedade e sem nonce, permitindo que confie em um valor de ID de usuário totalmente controlado pelo atacante, o qual é passado diretamente para as funções `wp_set_current_user()` e `wp_set_auth_cookie()`. Isso possibilita que atacantes não autenticados façam login como qualquer usuário existente do WordPress — incluindo administradores — ao fornecer um ID de usuário arbitrário no parâmetro GET `paypal_param`, resultando em controle total do site. A vulnerabilidade é agravada pelo fato de a classe gateway PayPal ser instanciada incondicionalmente, independentemente se o PayPal está habilitado ou configurado, garantindo que o hook vulnerável seja sempre registrado em todas as solicitações front-end.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.