Šta se desilo

Wordfence je objavio ranjivost zaobilaženja autentifikacije u WordPress dodatku Divi Membership proizvođača Divi Engine. Propust u obradi povratnog poziva za PayPal omogućava prijavu kao postojeći korisnik bez njegove lozinke.

Koga pogađa

Pogođene su verzije do 2.3.0 uključujući i nju. Isključivanje PayPal opcije nije dovoljna zaštita: ranjiva klasa se inicijalizuje i kada taj način plaćanja nije uključen ili podešen. Nalaz se odnosi na ovaj dodatak, a ne na sve Divi proizvode.

Kako se zaštititi

  • Ažurirajte na 3.0.0 ili novije zakrpljeno izdanje. Proizvođač je 3.0.0 objavio 29. septembra 2026.
  • Pre nadogradnje sačuvajte rezervnu kopiju i proverite kompatibilnost članstva, prijave i naplate.
  • Ako ne možete da primenite ispravku, privremeno deaktivirajte dodatak uz procenu uticaja na pristup sadržaju.
  • Pregledajte administratorske naloge, promene privilegija i dostupne dnevnike. Ako postoji sumnja na upad, sprovedite odgovor na incident i opoziv sesija.
  • Jake lozinke i MFA koristite kao dodatne mere, ali ne kao zamenu za zakrpu ovog propusta.

Tehnički detalji

Funkcija process_paypal_callback prihvata parametar paypal_param bez odgovarajuće provere autentičnosti i vlasništva nad nalogom. Napadačem kontrolisan identitet zatim se koristi za kreiranje WordPress sesije. Wordfence navodi CWE-287 i CVSS 3.1 ocenu 9,8, koja pripada kritičnom nivou; maksimalna CVSS ocena je 10.

Zašto je važno

Preuzimanje administratorskog naloga može ugroziti sadržaj, članstvo i konfiguraciju sajta. Nadogradnju treba povezati sa proverom mogućih ranijih neovlašćenih promena.

Preporuka Sajber Radara

Primenite potvrđenu ispravku i proverite rad registracije, prijave i plaćanja. Pregledani izvori ne potvrđuju aktivnu eksploataciju niti broj žrtava; ozbiljnost ranjivosti ne predstavlja dokaz da je konkretan sajt kompromitovan.