Anmelden Kostenlos starten
CVE-2026-3688 High 10. Juli 2026 CVSS 8.1/10

🟠 CVE-2026-3688: High Schwachstelle

CVE-2026-3688
8.1/10
High
Nein
Various
Network

„`html




CVE-2026-3688 – WCFM Membership Plugin Vulnerability

CVE-2026-3688: Insecure Direct Object Reference in WCFM Membership Plugin

Zusammenfassung

Das WordPress-Plugin „WCFM Membership – WooCommerce Memberships for Multivendor Marketplace“ weist eine kritische Sicherheitslücke vom Typ Insecure Direct Object Reference (IDOR) auf. Die Schwachstelle ermöglicht es authentifizierten Angreifern mit Vendor-Zugriff oder höher, die Benutzerrolle beliebiger Nutzer zu manipulieren und diese zu Vendoren zu befördern. Das Plugin bis einschließlich Version 2.11.10 ist betroffen.

Betroffene Systeme

Folgende Systemkonfigurationen sind vulnerable:

  • WordPress-Installationen mit WCFM Membership Plugin Versionen ≤ 2.11.10
  • WooCommerce Multivendor Marketplace Konfigurationen
  • Systeme mit authentifizierten Benutzern mit Vendor-Level-Zugriff oder höher

Technische Details

Die Vulnerabilität liegt in der AJAX-Action wcfmvm_membership_change, die fehlende Validierungen von Benutzerberechtigungen aufweist. Der anfällige Code führt Membership-Plan-Änderungen durch, ohne zu überprüfen, ob der Angreifer die Berechtigung zur Modifikation des betroffenen Benutzerkontos besitzt.

Ein authentifizierter Angreifer kann diese Lücke ausnutzen, indem er AJAX-Requests mit manipulierten Parametern sendet, um:

  • Beliebige Benutzer-IDs anzusprechen
  • Membership-Pläne zu ändern
  • Die Rolle eines Opfers auf ‚wcfm_vendor‘ zu setzen

Empfohlene Massnahmen

  • Sofortmassnahmen: Ãœberprüfung der Vendor-Benutzer auf unbefugte Konten
  • Aktualisierung: Warten auf Sicherheits-Patch und sofortige Installation
  • Zugriffskontrolle: Limitierung von Vendor-Rollen auf vertrauenswürdige Benutzer
  • Monitoring: Ãœberwachung der AJAX-Logs auf verdächtige ‚wcfmvm_membership_change‘-Requests
  • Hotfix-Umgehung: Deaktivierung des Plugins bis zum Patch verfügbar ist

Bewertung

CVSS Score: 8.1 (High)
Schweregrad: High
Angriffsvektor: Network (CVSS:3.1/AV:N)
Authentif

📷 Social Media Hashtags Instagram & Facebook
🔗 https://huntingthreats.de/%f0%9f%9f%a0-cve-2026-3688-high-schwachstelle/ #CVE #Vulnerability #CyberSecurity #ITSecurity #ZeroDay #Patch #InfoSec #CyberThreats #HuntingThreats #Cybersicherheit
💡 Tipp: Auf Instagram 10-15 Hashtags posten • Auf Facebook nur 3-5 verwenden
🛒

Empfohlene Security-Tools

* Affiliate-Links
🔑 Empfohlen
YubiKey Security Key NFC
Hardware-Sicherheitsschlüssel für Zwei-Faktor-Authentifizierung. Schützt Accounts selbst bei gestohlenen Passwörtern.
ab 29,00 € Amazon →
🛡 Netzwerk
GL.iNet GL-MT3000 Reise-Router
VPN-fähiger Pocket-Router mit WiFi 6. Schützt dein Netzwerk unterwegs und zu Hause vor Angriffen.
ab 69,00 € Amazon →
📘 Buch
Hacking & Cyber Security mit KI
Prompt Engineering, Phishing, Pentesting mit ChatGPT. Perfekt für IT-Security Einsteiger und Profis.
ab 24,99 € Amazon →
💻 Buch
Ethical Hacking - Das grosse Buch
Hacking mit Python Schritt für Schritt erklärt. Verstehe wie Angreifer denken und schütze deine Systeme.
ab 39,99 € Amazon →
🐍 Buch
Python für Einsteiger
Programmieren lernen mit Python - Schritt für Schritt zum Python-Profi. Ideal für Security Automation.
ab 29,99 € Amazon →

* Als Amazon-Partner verdiene ich an qualifizierten Käufen. Diese Links helfen dabei, HuntingThreats kostenlos zu betreiben.

Automatisch aggregiert von HuntingThreats am 10.07.2026
Alle CVEs ansehen