CVE-2026-11961
Inscription des utilisateurs et adhésion < 5.2.3 - Élévation de privilèges non authentifiée via l'ID d'adhésion members_data non lié
- Publié
- 17 juil. 2026
- Mise à jour
- 17 juil. 2026
- Attribution de CNA
- WPScan
- Preuve observée
- 7 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 30,8 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
La vulnérabilité du plugin WordPress User Registration & Membership avant la version 5.2.3 ne valide pas que le niveau d'adhésion soumis lors de l'inscription publique est l'un des niveaux autorisés par le formulaire d'inscription avant d'attribuer le rôle d'utilisateur associé à ce niveau, permettant à des utilisateurs non authentifiés de s'inscrire dans un niveau d'adhésion publié arbitraire et d'obtenir son rôle — jusqu'à administrateur lorsqu'un tel niveau existe.
Sources
- CVE-2026-11961Exploit
CVE-2026-11961 — UserRegistration : WordPress User Registration <= 5.2.2 Élévation de privilèges. Rôles d'adhésion mal configurés → Création d'administrateur non authentifiée → Compromission du site. CVSS 8.1
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.