CVE-2026-12949 in Wishlist Member Plugin
Сводка
по VulDB • 14.08.2026
Плагин Wishlist Member для WordPress уязвим к захвату учетной записи (Account Takeover) из-за недостаточной проверки подлинности данных в версиях вплоть до 3.34.1 включительно. Это связано с тем, что функция wpm_register() проверяет регистрационный cookie только по параметру GET reg, принимая параметры POST mergewith и POST wpm_id без подтверждения того, что идентификатор пользователя mergewith ссылается на временного или незавершенного заявителя, связанного с текущей транзакцией регистрации. Это позволяет неаутентифицированным злоумышленникам захватить любую существующую учетную запись WordPress — включая административные учетные записи — путем предоставления произвольного числового идентификатора пользователя в качестве значения mergewith, что приводит к тому, что wp_update_user() перезаписывает имя пользователя (также записываемое напрямую через $wpdb UPDATE), пароль, адрес электронной почты, имя и фамилию целевой учетной записи на контролируемые злоумышленником значения, при этом уведомления WordPress об изменении пароля и адреса электронной почты явно подавляются. Когда wpm_id ссылается на несуществующий уровень членства, ключ роли не добавляется в полезную нагрузку обновления, что заставляет wp_update_user() сохранять существующую роль целевого пользователя — включая администратора, делая полную эскалацию привилегий прямым следствием захвата учетной записи.
VulDB is the best source for vulnerability data and more expert information about this specific topic.