CVE-2026-104401: утечка данных в WordPress-плагине Memberful — Membership Plugin до версии 1.81.2

В экосистеме WordPress выявлена очередная уязвимость, связанная с некорректной защитой чувствительных данных. На этот раз проблема затронула плагин Memberful — Membership Plugin (пакет memberful-wp), который используется для организации платного членства и подписок на сайтах под управлением WordPress.

Подробности

Уязвимости присвоен идентификатор CVE-2026-104401. Согласно описанию, речь идёт о классе проблем «Exposure of Sensitive System Information to an Unauthorized Control Sphere» (CWE-497) — раскрытие конфиденциальной системной информации лицам, не имеющим на неё прав. В данном случае эксплуатация позволяет получить доступ к встроенным чувствительным данным (Retrieve Embedded Sensitive Data).

Уязвимы все версии плагина Memberful — Membership Plugin вплоть до 1.81.2 включительно. Проблема не требует аутентификации с высокими привилегиями и оценивается по CVSS как 4.3 из 10 (MEDIUM) — это умеренный, но требующий внимания уровень риска. Для сайтов, использующих плагин для управления подписками и данными участников, утечка такой информации может обернуться нарушением приватности пользователей и репутационными потерями.

Что делать

Основная рекомендация — как можно скорее обновить плагин до версии, в которой уязвимость устранена (выше 1.81.2), сразу после выпуска патча разработчиком. До момента установки обновления владельцам сайтов имеет смысл рассмотреть следующие временные меры:

• ограничить доступ к административной части WordPress по IP-адресам доверенных сетей;
• убедиться, что на сайте включён HTTPS и корректно настроены права доступа к файлам и директориям;
• провести аудит пользовательских ролей и отозвать лишние привилегии;
• включить веб-application firewall (WAF) и мониторинг подозрительной активности на предмет попыток эксплуатации.

Также стоит отслеживать официальные каналы разработчика плагина и страницу CVE для получения информации о выходе исправленной версии.

Итог: CVE-2026-104401 — уязвимость среднего уровня, связанная с раскрытием чувствительных данных в плагине Memberful для WordPress. Она не является критической, но требует своевременного обновления и базовых мер защиты, особенно для сайтов с платными подписками и персональными данными пользователей.

Источник: CVE Project (cvelistV5)