CVE-2026-94235
Beschrijving NL
De MemberHero WordPress-plug-in via 6.9 voert geen enkele mogelijkheid of nonce-controle uit op een van zijn AJAX-ACTIES, waardoor een geverifieerde gebruiker, zoals een abonnee, de site willekeurige HTML-e-mails kan laten verzenden naar willekeurige ontvangers vanuit zijn eigen e-mailsysteem, die kunnen worden misbruikt om phishing met de identiteit en domeinreputatie van de site door te geven.
Origineel (Engels) tonen
The MemberHero WordPress plugin through 6.9 does not perform any capability or nonce check on one of its AJAX actions, allowing any authenticated user, such as a subscriber, to make the site send arbitrary HTML emails to arbitrary recipients from its own mail system, which can be abused to relay phishing carrying the site's identity and domain reputation.