CVE-2026-86596
s2Member <= 260927 - Ejecución remota de código no autenticada mediante el parámetro IPN 'item_name'
- Publicado
- 2 nov 2026
- Actualizado
- 2 nov 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 74,1 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin s2Member para WordPress es vulnerable a ejecución remota de código en todas las versiones hasta la <= 260927, inclusive, a través del parámetro 'item_name'. Esto se debe a una sanitización insuficiente en strip_php_tags_deep(), que solo elimina las secuencias literales '<?', combinada con una limpieza de marcadores de posición posterior a la interpolación que reensambla un abridor '<?php' válido después de que el valor controlado por el atacante ya se ha incrustado en la plantilla de correo electrónico. Esto hace posible que atacantes autenticados, con acceso de nivel personalizado y superior, ejecuten código en el servidor.
Fuentes
- CVE-2026-86596Exploit
Exploit de archivo único y escáner masivo para CVE-2026-86596, una RCE por inyección de plantilla en s2Member a través del parámetro item_name del IPN de PayPal, con variantes de omisión y despliegue de webshell.
CVE-2026-86596 s2Member <= 260927 PoC de inyección de plantillas (laboratorio; se requiere verificación IPN)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.