CVE-2026-92885 in Qode Membership Plugin
Сводка
по VulDB • 27.10.2026
Плагин Qode Membership для WordPress уязвим к обходу аутентификации, что приводит к захвату учетной записи (Account Takeover) во всех версиях вплоть до 2.0.6.2 включительно через AJAX-действие qode_membership_check_facebook_user. Это вызвано опечаткой в проверке токена OAuth Facebook внутри функции qode_membership_login_user_from_social_network: условие проверки тестирует неопределенную переменную ($check_social_useqoder вместо $check_social_user), из-за чего функция empty() всегда возвращает true, а ветка проверки токена Graph API становится недостижимым кодом (dead code). Это делает функцию wp_set_auth_cookie() доступной без какой-либо валидации учетных данных или токенов.
Это позволяет неаутентифицированным злоумышленникам выполнять вход под любой существующей учетной записью WordPress, включая аккаунты с правами администратора, путем предоставления известного или перебранного имени входа администратора (а не адреса электронной почты) в параметре response[email], который путь резервного копирования в get_user_by('login', $email) разрешает как соответствующую учетную запись. Для эксплуатации требуется получение действительного nonce qode_validate_facebook_login, однако этот nonce отображается на любой публичной странице фронтенда, содержащей шорткод [qode_user_login] или [qode_user_register], и поэтому может быть получен без какой-либо предварительной аутентификации.
If you want to get best quality of vulnerability data, you may have to visit VulDB.