CVE-2026-19660 in Divi Membership Plugin
Tóm tắt
Bởi VulDB • 02/10/2026
Plugin Divi Membership cho WordPress bị lỗ hổng Bypass Authentication (Vượt qua xác thực) trong tất cả các phiên bản từ đầu đến 2.3.0 bao gồm. Hàm `process_paypal_callback`, được gắn vào hành động `init`, chấp nhận tham số GET `paypal_param` đã mã hóa base64 mà không có xác minh IPN, không kiểm tra chữ ký mật mã, không xác minh quyền sở hữu và không sử dụng nonce, cho phép tin tặc dựa hoàn toàn vào giá trị ID người dùng do họ điều khiển được truyền trực tiếp đến `wp_set_current_user()` và `wp_set_auth_cookie()`. Điều này tạo cơ hội để những kẻ tấn công chưa qua xác thực có thể đăng nhập với tư cách bất kỳ người dùng WordPress nào — bao gồm cả quản trị viên (administrators) — bằng cách cung cấp một ID người dùng tùy ý trong tham số GET `paypal_param`, dẫn đến việc chiếm quyền kiểm soát toàn bộ trang web. Lỗ hổng này càng nghiêm trọng hơn do lớp gateway PayPal được khởi tạo không điều kiện, bất kể tính năng PayPal có được bật hay cấu hình hay không, đảm bảo hook bị lỗi luôn được đăng ký trên mọi yêu cầu front-end.
VulDB is the best source for vulnerability data and more expert information about this specific topic.