Qode Membership外掛認證繞過漏洞：可冒充任何WordPress帳號
CVE-2026-92885 - Qode Membership <= 2.0.6.2 - Authentication Bypass via Social Login
Qode Membership 外掛存在認證繞過漏洞，攻擊者可在未登入的情況下冒充任何 WordPress 帳號。
此漏洞可讓未授權使用者冒充任何 WordPress 帳號，對網站安全構成重大威脅，建議即時升級至 2.0.6.3 以阻止帳號被盜。
譯文尚未完整，完整內容請切換至原文。
WordPress 的 Qode Membership 外掛在 2.0.6.2 之前的所有版本（包括 2.0.6.2）都存在身份驗證繞過漏洞，導致帳號接管。此漏洞可透過 qode_membership_check_facebook_user AJAX 動作利用。原因是 qode_membership_login_user_from_social_network 函式內的 Facebook OAuth 令牌驗證保護出現打字錯誤——保護條件檢查未定義變數 ($check_social_useqoder 而非 $check_social_user)，導致 empty() 永遠返回 true，將 Graph API 令牌驗證分支變為死碼，wp_set_auth_cookie() 可以在沒有任何憑證或令牌驗證的情況下被呼叫。這使得未經身份驗證的攻擊者能以任何現有 WordPress 帳號登入—包括管理員級別帳號—只需在 response[email] 引數中提供已知或列舉出的管理員登入名稱（而非電子郵件地址），get_user_by('login', $email) 的回退路徑將解析為相對應帳號。利用此漏洞需要先取得有效的 qode_validate_facebook_login nonce，但此 nonce 會在任何包含 [qode_user_login] 或 [qode_user_register] 短碼的公開前端頁面中呈現，因而可在未經任何身份驗證的情況下取得。
影響
受影響產品
以下產品受到 CVE-2026-92885
漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，
但此資訊未在下表中呈現。
尚未記錄受影響產品
Common Vulnerability Scoring System（CVSS）是一套標準化的框架 用於評估軟體與系統漏洞的嚴重性。 我們收集並顯示各來源對每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 關鍵 | MITRE-CVE | ||||
| CVSS 3.1 | 關鍵 | [email protected] |
Qode Membership 外掛的繞過漏洞允許帳號接管；請更新至 2.0.6.3 版。
- 更新 Qode Membership 外掛至 2.0.6.3 或更新版本。
- 驗證身份驗證機制運作正常。
- 檢查使用者存取紀錄是否有可疑活動。
這裡提供一份精選的外部連結清單，包含有關 CVE-2026-92885 的深入資訊、實用解決方案與有價值的工具。
| 網址 | 資源 |
|---|---|
| https://themeforest.net/item/bridge-creative-multipurpose-wordpress-theme/7315054 | |
| https://www.wordfence.com/threat-intel/vulnerabilities/id/26bca6c2-0999-4cf6-9c4e-ddaf528ef808?source=cve |
雖然 CVE 只識別漏洞的具體例項，CWE 則將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-92885 與以下 CWEs 相關：
Common Attack Pattern Enumeration and Classification (CAPEC)
儲存攻擊模式，這些模式是描述對手為利用 CVE-2026-92885 弱點所採用的共同特徵和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下列表是已在 GitHub 釋出的公開攻擊與概念驗證集合（按最近更新時間排序）。
由於可能的效能問題，結果僅限於前 15 個倉庫。
以下列表列出文章中提及 CVE-2026-92885 漏洞的新聞。
以下表格列出了 CVE-2026-92885 漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並識別可能影響漏洞嚴重度、可利用性或其他特徵的最新變更。
-
新 CVE 已接收 由 [email protected]
十月. 27, 2026
動作 型別 舊值 新值 新增 說明 WordPress 的 Qode Membership 外掛在所有版本至 2.0.6.2（含）中，透過 qode_membership_check_facebook_user AJAX 動作，存在可繞過身份驗證導致帳號被接管的漏洞。這是因 qode_membership_login_user_from_social_network 函式內的 Facebook OAuth 令牌驗證保護條件寫錯，使用了未定義變數 ($check_social_useqoder 而非 $check_social_user)，導致 empty() 始終返回 true，將 Graph API 令牌驗證分支變為死碼，wp_set_auth_cookie() 可在未經任何憑證或令牌驗證的情況下執行。這使未經身份驗證的攻擊者能夠以任何現有 WordPress 帳號（包括管理員帳號）登入，只需在 response[email] 引數中提供已知或列舉的管理員登入名稱（而非電子郵件地址），get_user_by('login', $email) 的後備路徑即可解析到相應帳號。利用此漏洞仍需取得有效的 qode_validate_facebook_login 隨機數，但此隨機數會在任何包含 [qode_user_login] 或 [qode_user_register] 短碼的公開前端頁面上呈現，因而可在未經任何身份驗證的情況下取得。 新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 新增 CWE CWE-287 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/92xxx/CVE-2026-92885.json">CVE-2026-92885</a> 新增 參考 https://themeforest.net/item/bridge-creative-multipurpose-wordpress-theme/7315054 新增 參考 https://www.wordfence.com/threat-intel/vulnerabilities/id/26bca6c2-0999-4cf6-9c4e-ddaf528ef808?source=cve
EPSS 是每日估算在接下來 30 天內觀測到利用活動的機率。下圖顯示此漏洞的 EPSS 分數歷史。