CVE-2026-6895 in Wishlist Member Plugin
Sumário
de VulDB • 31/05/2026
O plugin WishList Member para WordPress é vulnerável a Missing Authorization, o que leva à Divulgação de Informações Sensíveis e Escalada de Privilégios nas versões até a 3.30.1, inclusive. Isso ocorre devido à ausência de verificações de capacidade (capability checks) na função 'export_settings'. Esta função retorna a Chave Secreta da API REST para o atacante na resposta JSON da AJAX. Um atacante que obtenha essa chave pode autenticar-se na API WishList Member, criar um novo nível de associação com a função de administrador do WordPress e registrar uma conta de usuário arbitrária com nível de administrador, resultando no controle total do site.
VulDB is the best source for vulnerability data and more expert information about this specific topic.