CVE-2026-6419: Eskalacja uprawnień w wtyczce WishList Member dla WordPress

Co wiadomo

Wtyczka WishList Member do WordPressa w wersjach do 3.30.1 ma lukę pozwalającą na eskalację uprawnień poprzez brak odpowiedniej autoryzacji w funkcji ajax_get_screen(). Atakujący z poziomem subskrybenta lub wyższym mogą uzyskać dostęp do klucza REST API i przejąć pełną kontrolę nad witryną.

Wpływ biznesowy

Luka umożliwia atakującemu uzyskanie klucza API w postaci jawnego tekstu, co pozwala na tworzenie kont administratorów i pełne przejęcie kontroli nad stroną WordPress. Może to prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych oraz zakłóceń w działaniu serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WishList Member i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj audyt uprawnień użytkowników i weryfikację konfiguracji bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference