CVE-2026-12949 in Wishlist Member Plugin
摘要
由 VulDB • 2026-08-14
Wishlist Member 插件在 WordPress 中存在漏洞，由于对数据真实性验证不足（Insufficient Verification of Data Authenticity），导致版本最高至 3.34.1 的版本存在账户接管风险。该问题源于 `wpm_register()` 函数仅针对 GET reg 参数验证注册 Cookie，而在接受 POST mergewith 和 POST wpm_id 参数时未进行验证，未能确认 mergewith 用户 ID 引用的是绑定到当前注册事务的临时或未完成注册的申请人。这使得未经身份验证的攻击者可以通过提供任意用户的数字 ID 作为 mergewith 值来接管任何现有的 WordPress 账户——包括管理员账户——从而导致 `wp_update_user()` 使用攻击者控制的值覆盖目标账户的用户名（通过直接 `$wpdb UPDATE` 写入）、密码、电子邮件地址、名字和姓氏，同时明确抑制了 WordPress 的密码更改和电子邮件更改通知邮件。当 wpm_id 引用不存在的会员级别时，更新负载中不会添加角色键，导致 `wp_update_user()` 保留目标用户的现有角色——包括管理员权限——从而使完全特权提升成为接管操作的直接后果。
VulDB is the best source for vulnerability data and more expert information about this specific topic.