CVE-2026-15246

ŚrednieCVSS 4.3

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Wtyczka RealHomes Memberships dla WordPressa przed wersją 3.1.0 nie weryfikuje, czy płatność za członkostwo została faktycznie dokonana, ani nie sprawdza nonce ani uprawnień użytkownika przed przyznaniem płatnego pakietu członkowskiego. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. Subscriberowi, na uzyskanie płatnych pakietów bez płacenia.

Ocena ryzyka

Organizacja może ponieść straty finansowe, ponieważ użytkownicy mogą uzyskać płatne funkcje bez uiszczania opłat, a także może to prowadzić do nieautoryzowanego dostępu do zasobów.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do wersji 3.1.0 lub nowszej oraz wdrożenie dodatkowych kontroli płatności.

Inne podatności w RealHomes Memberships

CVE-2026-10782Średnie
Wtyczka RealHomes Memberships dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 3.0.9 włącznie. Podatność wynika z nieprawidłowego weryfikowania uprawnień użytkownika do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym przyznanie sobie dowolnego poziomu członkostwa premium bez dokonywania płatności PayPal.

Oryginalny opis (angielski, źródło NVD)

The RealHomes Memberships WordPress plugin before 3.1.0 does not verify that a membership payment actually completed, nor check a nonce or the user's capability, before granting a paid membership package, allowing any authenticated user such as a Subscriber to obtain paid membership packages without paying.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS