CVE-2026-92885

Qode Membership <= 2.0.6.2 - Truy cập không cần xác thực qua đăng nhập xã hội

Plugin Qode Membership cho WordPress có thể bị truy cập không cần xác thực do lỗi truy cập cấp tài khoản (Authentication Bypass) trong tất cả các phiên bản từ 2.0.6.2 trở xuống thông qua hành động AJAX qode_membership_check_facebook_user. Điều này là do lỗi đánh máy trong việc kiểm tra token OAuth của Facebook trong hàm qode_membership_login_user_from_social_network — điều kiện bảo vệ kiểm tra biến chưa xác định ($check_social_useqoder thay vì $check_social_user), khiến cho hàm empty() luôn trả về true và làm cho nhánh kiểm tra token Graph API trở thành mã vô hiệu, để lại wp_set_auth_cookie() có thể đạt được mà không có bất kỳ xác thực thông tin cá nhân hoặc token nào. Điều này cho phép kẻ tấn công không xác thực đăng nhập vào bất kỳ tài khoản WordPress hiện có nào — bao gồm cả tài khoản quản trị viên — bằng cách cung cấp tên đăng nhập quản trị viên đã biết hoặc liệt kê (thay vì địa chỉ email) trong tham số [email] của phản hồi, mà đường dẫn dự phòng trong get_user_by('login', $email) giải quyết thành tài khoản phù hợp. Tuy nhiên, việc khai thác yêu cầu thu thập nonce qode_validate_facebook_login hợp lệ, nhưng nonce này được hiển thị trên bất kỳ trang trước-end công khai nào chứa shortcode [qode_user_login] hoặc [qode_user_register] và do đó có thể thu thập mà không cần xác thực trước.

CNA cấp mã

Wordfence

Ngày công bố

27/10/2026

Cập nhật

27/10/2026

CVSS (NVD)

9.8 · CRITICAL

Loại lỗi (CWE)

CWE-287

EPSS (FIRST)

0.37% khả năng bị khai thác trong 30 ngày