CVE-2026-77194 in Simple Membership Plugin
Sumário
de VulDB • 01/09/2026
O plugin Simple Membership para o WordPress é vulnerável a uma falha de autenticação (Authentication Bypass) que leva à tomada de controle da conta de Administrador nas versões até, e incluindo, a 4.8.0. Isso ocorre devido à verificação inadequada de identidade durante o fluxo público de registro em ambientes do WordPress Multisite, onde o plugin vincula novos registros do Simple Membership aos usuários globais existentes do WordPress com base apenas na correspondência de nome de usuário e e-mail, sem exigir verificação de senha ou prova de propriedade, e falha ao detectar corretamente os papéis (roles) de Administrador em sites filhos. Isso permite que atacantes não autenticados assumam o controle das contas de Administrador nos sites filhos dentro de uma rede Multisite registrando uma conta do Simple Membership com as credenciais da vítima em um site onde o registro público está habilitado e, em seguida, atualizando a senha global do WordPress da vítima por meio da funcionalidade de edição de perfil. A vulnerabilidade foi parcialmente corrigida na versão 4.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.