→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-15451 · memberpress-corporate

افزایش سطح دسترسی (Privilege Escalation) در افزونه MemberPress Corporate Accounts

افزونه MemberPress Corporate Accounts به دلیل آسیب‌پذیری تخصیص انبوه (mass assignment) در تابع add_sub_account_user که آرایه userdata خام را بدون فیلتر کردن کلیدهای خطرناک مانند role یا ID به wp_insert_user ارسال می‌کند، در نسخه‌های تا ۱.۵.۳۹ آسیب‌پذیر است. مهاجمان احراز هویت‌شده با سطح دسترسی subscriber یا بالاتر که دارای حساب corporate هستند می‌توانند حساب‌های ادمین جدید ایجاد کرده یا حساب‌های ادمین موجود را با بازنویسی ایمیل hijack کنند که منجر به کنترل کامل وب‌سایت می‌شود. با توجه به وجود وصله امنیتی، توصیه می‌شود افزونه را فوراً به آخرین نسخه امن به‌روزرسانی نمایید.