CVE-2026-92885

WordPress için geliştirilen Qode Membership eklentisinin 2.0.6.2 dahil tüm sürümleri, qode_membership_check_facebook_user AJAX işlemi üzerinden Hesap Ele Geçirme ile sonuçlanan Kimlik Doğrulama Atlatma zafiyetine sahiptir. Bu durum, qode_membership_login_user_from_social_network fonksiyonu içindeki Facebook OAuth belirteç doğrulama korumasındaki bir yazım hatasından kaynaklanmaktadır; koruma koşulu tanımlanmamış bir değişkeni ($check_social_user yerine $check_social_useqoder) test etmekte, bu da empty() fonksiyonunun her zaman doğru dönmesine neden olarak Graph API belirteç doğrulama dalını ölü koda dönüştürmekte ve wp_set_auth_cookie() fonksiyonunu herhangi bir kimlik bilgisi veya belirteç doğrulaması olmaksızın erişilebilir kılmaktadır. Bu durum, kimliği doğrulanmamış saldırganların, response[email] parametresinde (e-posta adresi yerine) bilinen veya numaralandırılmış bir yönetici giriş adı sağlayarak —Yönetici düzeyindeki hesaplar dahil— mevcut herhangi bir WordPress hesabıyla giriş yapmasını mümkün kılar; çünkü get_user_by('login', $email) içerisindeki yedek yol bunu eşleşen hesapla çözümler. İstismar için geçerli bir qode_validate_facebook_login nonce değerinin toplanması gerekir, ancak bu nonce değeri [qode_user_login] veya [qode_user_register] kısa kodu içeren herhangi bir genel ön uç sayfasında oluşturulur ve dolayısıyla önceden herhangi bir kimlik doğrulama gerektirmeden elde edilebilir.