CVE-2025-11835

ŚrednieCVSS 5.3

Opublikowano: 05/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka Paid Membership Subscriptions dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień i walidacji w funkcji PMS_AJAX_Checkout_Handler::process_payment() we wszystkich wersjach do 2.16.4 włącznie. Nieuwierzytelniony atakujący może wywołać zapisane automatyczne odnowienia płatności dla dowolnych członków.

Ocena ryzyka

Atakujący może bez logowania wywołać obciążenia finansowe dla subskrybentów, co może prowadzić do nieoczekiwanych opłat i sporów. Może to zaszkodzić reputacji i finansom organizacji oraz użytkowników.

Rekomendacja

Zaktualizuj wtyczkę Paid Membership Subscriptions do wersji nowszej niż 2.16.4. Monitoruj nietypowe transakcje i rozważ tymczasowe wyłączenie funkcji automatycznego odnowienia.

Inne podatności w Paid Membership Subscriptions

CVE-2026-90950Średnie
Wtyczka Paid Membership Subscriptions dla WordPressa przed wersją 3.1.0 nie weryfikuje reCAPTCHA w handlerze rejestracji, gdy pole formularza jest nieobecne w żądaniu, co pozwala nieuwierzytelnionym użytkownikom na tworzenie kont bez rozwiązania reCAPTCHA.

Oryginalny opis (angielski, źródło NVD)

The Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability and validation check on the PMS_AJAX_Checkout_Handler::process_payment() function in all versions up to, and including, 2.16.4. This makes it possible for unauthenticated attackers to trigger stored auto-renew charges for arbitrary members.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS