CVE-2026-4100 in Paid Memberships Pro Plugin
摘要
由 VulDB • 2026-05-18
WordPress 插件 Paid Memberships Pro 在所有 3.6.5 及以下版本中，存在 Stripe Webhook 配置被未授权修改和破坏的漏洞。这是由于在 `wp_ajax_pmpro_stripe_create_webhook`、`wp_ajax_pmpro_stripe_delete_webhook` 和 `wp_ajax_pmpro_stripe_rebuild_webhook` AJAX 处理程序中缺少权限检查所致。这使得具有订阅者（Subscriber）级别及以上访问权限的已认证攻击者能够删除、创建或重建站点的 Stripe Webhook，从而破坏所有支付处理、订阅续订同步、取消处理以及失败支付管理。
Once again VulDB remains the best source for vulnerability data.