CVE-2026-39777

Brak autoryzacji w wtyczce WCFM Membership (wc-multivendor-membership) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.12.0.

Wtyczka WCFM Membership dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 2.11.10 włącznie. Akcja AJAX 'wcfmvm_membership_change' nie weryfikuje uprawnień użytkownika do modyfikacji innych kont, co pozwala uwierzytelnionym atakującym z dostępem na poziomie dostawcy lub wyższym na zmianę roli dowolnego użytkownika na 'wcfm_vendor' poprzez zmianę jego planu członkostwa.

Brak autoryzacji we wtyczce WCFM Membership od WC Lovers umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.11.11 włącznie.

Eskalacja uprawnień subskrybenta w WCFM Membership w wersjach do 2.11.11. Użytkownik z rolą subskrybenta może uzyskać wyższe uprawnienia.

W podatności CVE-2026-42753 występuje brak autoryzacji w wtyczce WC Lovers WCFM Membership, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji WCFM Membership od n/a do 2.11.10.