Ranjivost u dodatku s2Member omogućava izvršavanje PHP koda
Wordfence je objavio da CVE-2026-86596 pogađa s2Member do verzije 260927 uključujući i to izdanje. Za ovaj propust prva ispravljena verzija je 261001.
Šta se desilo?
Greška u obradi obaveštenja o plaćanju omogućava da podatak koji dodatak umeće u šablon imejla bude protumačen kao PHP kod. Wordfence je ranjivosti dodelio osnovnu ocenu 9,8 po CVSS 3.1.
Koga pogađa?
Pogođeni su WordPress sajtovi sa ranjivom verzijom dodatka s2Member. Propust je u obradi parametra item_name iz IPN obaveštenja, a ne u samom WordPress jezgru.
Kako se zaštititi?
- Proverite verziju s2Member-a na svakom sajtu na kojem je instaliran.
- Instalirajte aktuelnu podržanu verziju koja sadrži ispravku iz izdanja 261001.
- Ako ažuriranje morate da odložite, procenite privremeno isključivanje dodatka i uticaj na naplatu i pristup članskom sadržaju.
- Pregledajte neočekivane izmene PHP datoteka i administratorskih naloga na ranije izloženim sajtovima.
Tehnički detalji
Dodatak prvo filtrira PHP oznake, ali pri kasnijoj obradi šablona može ponovo da sastavi početnu oznaku za izvršavanje koda. Naslov Wordfence zapisa i njegov CVSS vektor opisuju napad bez privilegija, dok tekst zapisa navodi prijavljenog korisnika sa posebnim nivoom pristupa. Tačan uslov prijave zato ostaje nejasan.
Zašto je važno?
Izvršavanje koda sa pravima veb aplikacije može omogućiti pristup podacima sajta. Objavljena demonstracija propusta sama po sebi ne potvrđuje napade na korisnike.
Preporuka Sajber Radara
Prvo ažurirajte javno dostupne sajtove, pa proverite da li naplata, obaveštenja i članski pristup rade posle promene.