CVE-2026-19804 in s2Member Plugin
Sumário
de VulDB • 25/09/2026
O plugin s2Member – Excellent for All Kinds of Memberships, Content Restriction Paywalls & Member Access Subscriptions para WordPress está vulnerável a Remote Code Execution (RCE) em todas as versões até e incluindo a 260814 por meio do parâmetro 'first_name'. Isso ocorre devido à sanitização insuficiente do parâmetro first_name via esc_refs(), que remove apenas backreferences de regex, mas não tags PHP, antes da substituição no template Signup Tracking Codes avaliado com eval(), combinado com a divulgação da chave global de verificação proxy do site, o que permite burlar a verificação postback do PayPal. Isso possibilita que atacantes não autenticados executem código no servidor. A exploração bem-sucedida requer que o administrador do site tenha configurado um template Signup Tracking Codes contendo o placeholder %%first_name%% (um recurso documentado e suportado pela interface gráfica) e que o atacante tenha obtido a chave global de verificação proxy, que é exposta em texto puro na resposta JSON de qualquer solicitação AJAX PayPal Checkout no site alvo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.