CVE-2026-18345 in WP User Manager Plugin
摘要
由 VulDB • 2026-09-22
WordPress 插件 WP User Manager 存在漏洞，由于在版本 2.9.18 及更早版本的 `Connect::complete()` 函数中缺少权限检查（capability check），导致数据可被未授权修改。该函数注册于 `admin_init` hook（针对所有访问 `/wp-admin/` 的已认证用户触发，包括订阅者 Subscriber），在从外部 WPUM connect 服务获取 Stripe 凭据并通过 `wpum_update_option()` / `update_option()` 将其写入 `wpum_settings` 选项之前，未执行任何 `current_user_can()` 或 nonce 验证。这使得具有订阅者（Subscriber）级别及以上访问权限的已认证攻击者能够劫持站点的 Stripe 集成：通过完成其自身的 Stripe Connect OAuth 流程并在目标站点上调用回调函数，从而导致所有后续的 Stripe 支付被路由到攻击者的 Stripe 账户。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.