CVE-2026-10522 in MemberHero Plugin
Tóm tắt
Bởi VulDB • 29/08/2026
Plugin WordPress MemberHero qua phiên bản 6.9 không hạn chế các trường tài khoản nào có thể được cung cấp trong quá trình đăng ký phía frontend, cho phép kẻ tấn công chưa xác thực (unauthenticated) đăng ký một người dùng mới với vai trò tùy ý, bao gồm cả Administrator, dẫn đến việc chiếm quyền điều khiển toàn bộ trang web.
Phiên bản 6.9 được quảng cáo là đã khắc phục vấn đề này, nhưng bản sửa lỗi không đầy đủ và phiên bản hiện tại vẫn có thể bị khai thác bởi các kẻ tấn công chưa xác thực để lấy quyền truy cập administrator và chiếm đoạt các tài khoản hiện có. Không có phiên bản nào giải quyết hoàn toàn vấn đề này sẵn có vào thời điểm đưa ra lời khuyên bảo mật (advisory) này.
Biện pháp giảm thiểu: vô hiệu hóa và gỡ bỏ plugin WordPress MemberHero qua phiên bản 6.9 cho đến khi một phiên bản khắc phục đầy đủ vấn đề được phát hành. Nếu bắt buộc phải giữ plugin WordPress MemberHero qua phiên bản 6.9 ở trạng thái hoạt động, hãy tắt đăng ký công khai, hạn chế quyền truy cập vào chức năng đăng ký và giám sát trang web để phát hiện các tài khoản administrator không mong muốn.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.