→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-14848 · paid-member-subscriptions
نقص در بررسی سطح دسترسی (Missing Authorization) در افزونه Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction
در افزونه Paid Member Subscriptions برای وردپرس، عدم اعتبارسنجی مالکیت در پارامتر pms_current_subscription در تابع process_checkout اجازه می‌دهد هر کاربر احراز هویت شده با سطح دسترسی subscriber و بالاتر اشتراک‌های متعلق به سایر کاربران را ارجاع دهند. مهاجمان با ارسال شناسه اشتراک دلخواه در حین فرآیند پرداخت می‌توانند اشتراک‌های دیگر اعضا را تغییر دهند یا تصاحب کنند. با توجه به وجود پچ امنیتی، به‌روزرسانی فوری به نسخه امن توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 3.0.7
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته paid-member-subscriptions را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.