CVE-2026-18345
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka WP User Manager dla WordPressa w wersjach do 2.9.18 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzania uprawnień w funkcji Connect::complete(). Funkcja jest zarejestrowana na hooku admin_init i nie weryfikuje uprawnień ani nonce przed pobraniem danych uwierzytelniających Stripe i zapisaniem ich w opcji wpum_settings. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może przejąć integrację Stripe, kierując wszystkie płatności na swoje konto.
Ocena ryzyka
Atakujący może przekierować wszystkie płatności Stripe na swoje konto, co prowadzi do strat finansowych i naruszenia bezpieczeństwa transakcji.
Rekomendacja
Zaktualizuj wtyczkę WP User Manager do wersji nowszej niż 2.9.18, gdy tylko będzie dostępna.
Inne podatności w WP User Manager
Zobacz wszystkie- CVE-2026-112823Średnie
Wtyczka WordPress WP User Manager w wersjach do 2.9.25 zawiera podatność polegającą na braku autoryzacji, umożliwiającą manipulowanie stanem użytkownika. Może to pozwolić nieuprawnionym użytkownikom na zmianę stanu kont innych użytkowników.
- CVE-2026-49766Krytyczne
Wtyczka WP User Manager w wersjach do 2.9.16 zawiera podatność, która pozwala subskrybentom na dowolne usuwanie plików.
- CVE-2026-116846Średnie
Wtyczka WP User Manager (do wersji 2.9.26) ma lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonywać operacje wymagające wyższych uprawnień.
- CVE-2026-108496Średnie
Wtyczka WordPress WP User Manager (do wersji 2.9.24) zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na nieuprawniony dostęp do funkcji zarządzania użytkownikami.
- CVE-2026-107423Średnie
Brak autoryzacji w wtyczce WP User Manager. Nieprawidłowo skonfigurowane poziomy kontroli dostępu mogą być wykorzystane przez nieautoryzowanych użytkowników.
- CVE-2026-103085Średnie
Wtyczka WP User Manager dla WordPressa do wersji 2.9.20 zawiera podatność typu Improper Access Control, która pozwala na nadużycie uprawnień. Wynika to z nieprawidłowej kontroli dostępu.
- CVE-2026-94079Średnie
Podatność Broken Access Control w wtyczce WP User Manager w wersjach do 2.9.19 włącznie. Podatność może być wykorzystana przez nieuwierzytelnionego atakującego.
- CVE-2026-9290Wysokie
Wtyczka WP User Manager – User Profile Builder & Membership dla WordPressa w wersjach do 2.9.17 włącznie zawiera podatność na lokalne dołączanie plików (Local File Inclusion) w funkcji szablonu profilu. Nieuwierzytelnieni atakujący mogą dołączać i wykonywać dowolne pliki .php na serwerze, co umożliwia ominięcie kontroli dostępu, uzyskanie wrażliwych danych lub wykonanie kodu.
- CVE-2025-13320Średnie
Wtyczka WP User Manager dla WordPress w wersjach do 2.9.12 włącznie jest podatna na dowolne usuwanie plików. Wynika to z niewystarczającej walidacji ścieżek plików dostarczanych przez użytkownika w funkcji aktualizacji profilu oraz nieprawidłowej obsługi tablic przez funkcję filter_input() w PHP. Uwierzytelniony atakujący z uprawnieniami Subscriber lub wyższymi może usunąć dowolne pliki na serwerze poprzez parametr 'current_user_avatar' w dwuetapowym ataku, co może umożliwić zdalne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
The WP User Manager plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the Connect::complete() function in versions up to, and including, 2.9.18. The function is registered on the admin_init hook (which fires for every authenticated user that reaches /wp-admin/, including Subscribers) and performs no current_user_can() or nonce verification before fetching Stripe credentials from the external WPUM connect service and writing them (publishable key, secret key, gateway mode, and connected Stripe account ID) into the wpum_settings option via wpum_update_option()/update_option(). This makes it possible for authenticated attackers, with Subscriber-level access and above, to hijack the site's Stripe integration by completing their own Stripe Connect OAuth flow and then invoking the callback on the target site, causing all subsequent Stripe payments to be routed to the attacker's Stripe account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS