CVE-2026-12949 in Wishlist Member Plugin
Tóm tắt
Bởi VulDB • 14/08/2026
Plugin Wishlist Member cho WordPress dễ bị tấn công chiếm đoạt tài khoản (Account Takeover) do xác thực không đầy đủ tính toàn vẹn của dữ liệu trong các phiên bản từ 3.0 đến bao gồm cả 3.34.1. Lỗi này xuất hiện vì hàm `wpm_register()` chỉ kiểm tra cookie đăng ký đối với tham số GET `reg`, nhưng lại chấp nhận các tham số POST `mergewith` và POST `wpm_id` mà không xác minh rằng ID người dùng trong `mergewith` có trỏ đến một người đăng ký tạm thời hoặc chưa hoàn tất, vốn phải được liên kết với giao dịch đăng ký hiện tại. Điều này cho phép kẻ tấn công chưa xác thực (unauthenticated) chiếm đoạt bất kỳ tài khoản WordPress nào — bao gồm cả tài khoản quản trị viên — bằng cách cung cấp ID số của một người dùng tùy ý làm giá trị `mergewith`. Hành động này khiến hàm `wp_update_user()` ghi đè tên đăng nhập, mật khẩu, địa chỉ email, họ và tên đệm của tài khoản mục tiêu bằng các giá trị do kẻ tấn công kiểm soát (thêm vào đó, việc cập nhật cũng được thực hiện trực tiếp thông qua lệnh `$wpdb UPDATE`), trong khi WordPress đã chủ động vô hiệu hóa các email thông báo thay đổi mật khẩu và email. Khi `wpm_id` trỏ đến một cấp thành viên không tồn tại, khóa vai trò (role key) sẽ không được thêm vào payload cập nhật, khiến hàm `wp_update_user()` giữ nguyên vai trò hiện có của người dùng mục tiêu — bao gồm cả quản trị viên — dẫn đến việc leo thang đặc quyền toàn phần là hệ quả trực tiếp của cuộc chiếm đoạt tài khoản.
VulDB is the best source for vulnerability data and more expert information about this specific topic.