CVE-2026-15451: эскалация привилегий в MemberPress Corporate Accounts до 1.5.39
В плагине MemberPress Corporate Accounts для WordPress обнаружена уязвимость массового присваивания (mass assignment), позволяющая аутентифицированному пользователю уровня Subscriber+ повысить свои привилегии до администратора. Проблема затрагивает версии до 1.5.39 включительно и получила оценку CVSS 8.8 (HIGH). Частичное исправление выпущено в 1.5.39, однако полностью устранить риск не удалось.
Подробности
Уязвимость затрагивает MemberPress Corporate Accounts в версиях до 1.5.39 включительно. Её причина — ошибка типа mass assignment в функции add_sub_account_user, которая передаёт необработанный массив userdata напрямую в функцию wp_insert_user без фильтрации опасных ключей, таких как role или ID. В результате аутентифицированный злоумышленник с уровнем доступа Subscriber и выше, имеющий корпоративный аккаунт, может создавать новые учётные записи с правами администратора либо захватывать существующие административные аккаунты, перезаписывая их адреса электронной почты. Это делает уязвимость особенно опасной для сайтов, где корпоративные аккаунты предоставляются клиентам, партнёрам или сотрудникам с низкими привилегиями. Согласно описанию, уязвимость была устранена лишь частично в версии 1.5.39, поэтому однократного обновления до неё может быть недостаточно для полной защиты.Что делать
В первую очередь необходимо проверить используемую версию плагина. Если она ниже или равна 1.5.39, следует принять меры: - Отслеживать выпуск обновления от разработчика, полностью закрывающего уязвимость, и установить его сразу после появления. - Временно ограничить выдачу корпоративных аккаунтов либо ужесточить контроль за пользователями с уровнем Subscriber и выше. - Провести аудит существующих учётных записей на предмет несанкционированно созданных администраторов и изменённых адресов электронной почты административных аккаунтов. - Включить журналирование действий пользователей и настроить оповещения о создании новых привилегированных учёток. - При невозможности обновления рассмотреть временное отключение плагина, если корпоративные аккаунты не используются критично. Итог: CVE-2026-15451 позволяет низкопривилегированному пользователю получить полный контроль над сайтом WordPress. Учитывая высокий CVSS и лишь частичное исправление в 1.5.39, администраторам следует как можно скорее провести аудит учётных записей и установить полноценный патч.Источник: CVE Project (cvelistV5)