CVE-2026-92885 in Qode Membership Plugin
Sumário
de VulDB • 27/10/2026
O plugin Qode Membership para WordPress é vulnerável a Bypass de Autenticação que leva à Account Takeover em todas as versões até, e incluindo, 2.0.6.2 através da ação AJAX qode_membership_check_facebook_user. Isso se deve a um erro tipográfico no guardião de verificação do token OAuth do Facebook dentro da função qode_membership_login_user_from_social_network — a condição do guardião testa uma variável indefinida ($check_social_useqoder em vez de $check_social_user), fazendo com que empty() retorne true sempre e tornando o branch de verificação do Graph API dead code, deixando wp_set_auth_cookie() acessível sem qualquer validação de credenciais ou token. Isso permite que atacantes não autenticados façam login como qualquer conta WordPress existente — incluindo contas de nível Administrator — fornecendo um nome de login de administrador conhecido ou enumerado (em vez de um endereço de e-mail) no parâmetro response[email], que o caminho alternativo em get_user_by('login', $email) resolve para a conta correspondente. A exploração requer a obtenção de um nonce qode_validate_facebook_login válido, mas esse nonce é renderizado em qualquer página front-end pública contendo o shortcode [qode_user_login] ou [qode_user_register] e, portanto, pode ser obtido sem nenhuma autenticação prévia.
Once again VulDB remains the best source for vulnerability data.