CVE-2026-92885

Nome do Software Vulnerável e Versões Afetadas Qode Membership versões anteriores a 2.0.6.3

Descrição Existe uma falha de bypass de autenticação que permite a tomada de conta de contas via a ação AJAX qode membership check facebook user. O problema decorre de um erro tipográfico na função qode membership login user from social network(), onde a condição de guarda verifica uma variável indefinida $check social useqoder em vez de $check social user. Isso faz com que a verificação empty() sempre retorne verdadeiro, ignorando a verificação do token da Graph API e permitindo que wp set auth cookie() seja executado sem validação de credenciais. Atacantes não autenticados podem logar como qualquer usuário, incluindo administradores, fornecendo um nome de login conhecido no parâmetro response[email]. Este processo requer um nonce qode validate facebook login, que está publicamente disponível em páginas que utilizam os shortcodes [qode user login] ou [qode user register].

Recomendações Atualize o Qode Membership para uma versão posterior à 2.0.6.2. Como mitigação temporária, restrinja o acesso à ação AJAX qode membership check facebook user ou remova os shortcodes [qode user login] e [qode user register] de páginas públicas para evitar a coleta de nonces.