CVE-2026-92885
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.4%
- CWE
- CWE-287
- KEV Durumu
- Hayır
Yayım tarihi: 27 Ekim 2026
Qode Membership eklentisi WordPress için, 2.0.6.2 sürümüne kadar olan tüm sürümlerde, qode_membership_check_facebook_user AJAX eylemi aracılığıyla Kimlik Doğrulama Atlatma ve Hesap Ele Geçirme için savunmasızdır. Bu, qode_membership_login_user_from_social_network işlevi içindeki Facebook OAuth token doğrulama koruyucusunda bir yazım hatasından kaynaklanmaktadır — koruyucu koşul tanımsız bir değişkeni ($check_social_useqoder yerine $check_social_user) test eder, bu da empty() işlevinin her zaman true döndürmesine ve Graph API token doğrulama dalının işe yaramaz hale gelmesine neden olur, böylece wp_set_auth_cookie() işlevi hiçbir kimlik bilgileri veya token doğrulaması olmadan erişilebilir hale gelir. Bu, saldırganların, bilinen veya sayılmış bir yönetici giriş adını (e-posta adresi yerine) response[email] parametresinde sağlayarak, herhangi bir mevcut WordPress hesabına, dahil olmak üzere Yönetici düzeyindeki hesaplar, giriş yapmasına olanak tanır — get_user_by('login', $email) işlevinin geri dönüş yolunun eşleşen hesaba çözülmesi nedeniyle. İstismar, geçerli bir qode_validate_facebook_login nonce toplamak gerektirir, ancak bu nonce, [qode_user_login] veya [qode_user_register] shortcode içeren herhangi bir genel ön uç sayfasında oluşturulur ve bu nedenle önceden kimlik doğrulaması olmadan elde edilebilir.
Orijinal açıklama (İngilizce)
The Qode Membership plugin for WordPress is vulnerable to Authentication Bypass leading to Account Takeover in all versions up to, and including, 2.0.6.2 via the qode_membership_check_facebook_user AJAX action. This is due to a typographic error in the Facebook OAuth token verification guard within the qode_membership_login_user_from_social_network function — the guard condition tests an undefined variable ($check_social_useqoder instead of $check_social_user), causing empty() to always return true and rendering the Graph API token verification branch dead code, leaving wp_set_auth_cookie() reachable with no credential or token validation whatsoever. This makes it possible for unauthenticated attackers to log in as any existing WordPress account — including Administrator-level accounts — by supplying a known or enumerated administrator login name (rather than an email address) in the response[email] parameter, which the fallback path in get_user_by('login', $email) resolves to the matching account. Exploitation does require harvesting a valid qode_validate_facebook_login nonce, but this nonce is rendered on any public front-end page containing the [qode_user_login] or [qode_user_register] shortcode and is therefore obtainable without any prior authentication.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.