PT-2026-20647 · WordPress · S2Member

Alyudin Nafiie · Publicado 2026-02-19 · Atualizado 2026-04-04 · CVE-2026-1994

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do s2Member anteriores à 260128

Descrição O plugin s2Member para WordPress está suscetível a escalonamento de privilégios via tomada de conta. O plugin não valida corretamente a identidade do usuário antes de permitir atualizações de senha. Isso permite que atacantes não autenticados alterem as senhas de qualquer conta de usuário, incluindo contas de administrador, potencialmente levando à tomada total do site. Um exploit compilado para este problema está sendo vendido, com versões disponíveis para Windows e macOS.

Recomendações Versões anteriores à 260128 devem ser atualizadas para a versão 260128 ou posterior. Como medida temporária, monitore alterações de senha não autorizadas.

Correção

LPE

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2026-1994

Produtos afetados

S2Member

Referências · 13

• https://twitter.com/CVEnew/status/2024501262973350359 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2024548769518538941 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3461625/s2member#file5 · Nota
• https://twitter.com/MNovofastovsky/status/2029628020110070177 · Publicação no Twitter
• https://twitter.com/CveTodo/status/2024516538934386977 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/6c31cf92-26b7-484d-8c93-ce241d655d07?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/s2member/tags/260127/src/includes/classes/registrations.inc.php#L74 · Nota
• https://twitter.com/0dayPublishing/status/2024380931851591903 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-1994 · Nota de Segurança
• https://t.me/CVEtracker/45090 · Publicação no Telegram
• https://twitter.com/DarkWebInformer/status/2024513918660411507 · Publicação no Twitter
• https://twitter.com/cirrux/status/2040234080881516732 · Publicação no Twitter
• https://twitter.com/offseq/status/2024386020536353077 · Publicação no Twitter