CVE-2026-84756
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Eskalacja uprawnień subskrybenta w WCFM Membership w wersjach do 2.11.11. Użytkownik z rolą subskrybenta może uzyskać wyższe uprawnienia.
Ocena ryzyka
Możliwość przejęcia konta administratora lub uzyskania nieautoryzowanego dostępu do funkcji administracyjnych.
Rekomendacja
Zaktualizuj WCFM Membership do najnowszej wersji, która zawiera poprawkę.
Inne podatności w WCFM Membership
Zobacz wszystkie- CVE-2026-39777Średnie
Brak autoryzacji w wtyczce WCFM Membership (wc-multivendor-membership) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.12.0.
- CVE-2026-39743Średnie
Brak autoryzacji w wtyczce WCFM Membership (wc-multivendor-membership) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.12.0.
- CVE-2026-3688Wysokie
Wtyczka WCFM Membership dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 2.11.10 włącznie. Akcja AJAX 'wcfmvm_membership_change' nie weryfikuje uprawnień użytkownika do modyfikacji innych kont, co pozwala uwierzytelnionym atakującym z dostępem na poziomie dostawcy lub wyższym na zmianę roli dowolnego użytkownika na 'wcfm_vendor' poprzez zmianę jego planu członkostwa.
- CVE-2026-32480Średnie
Brak autoryzacji we wtyczce WCFM Membership od WC Lovers umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.11.11 włącznie.
- CVE-2026-42753Wysokie
W podatności CVE-2026-42753 występuje brak autoryzacji w wtyczce WC Lovers WCFM Membership, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji WCFM Membership od n/a do 2.11.10.
Oryginalny opis (angielski, źródło NVD)
Subscriber Privilege Escalation in WCFM Membership <= 2.11.11 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS