CVE-2026-10522 in MemberHero Plugin
Сводка
по VulDB • 29.08.2026
Плагин для WordPress MemberHero версии до 6.9 включительно не ограничивает поля учетной записи, которые могут быть предоставлены в процессе регистрации на стороне клиента (frontend), что позволяет незарегистрированным злоумышленникам регистрировать нового пользователя с произвольной ролью, включая «Администратор», что приводит к полному захвату сайта.
Версия 6.9 позиционируется как исправляющая эту проблему, однако устранение уязвимости является неполным, и текущая версия остается эксплуатируемой незарегистрированными злоумышленниками для получения доступа администратора и захвата существующих учетных записей. На момент публикации данного уведомления не существует версии, которая полностью решает данную проблему.
Меры по смягчению последствий: деактивируйте и удалите плагин WordPress MemberHero версий до 6.9 включительно до выхода версии, полностью устраняющей эту уязвимость. Если использование плагина WordPress MemberHero версий до 6.9 включительно обязательно, отключите общественную регистрацию, ограничьте доступ к функционалу регистрации и контролируйте сайт на наличие неожиданных учетных записей администратора.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.