Résumé
généré automatiquement à partir des données NVDLe plugin s2Member pour WordPress, dans toutes ses versions jusqu'à 260927 incluse, est vulnérable à une exécution de code à distance via le paramètre 'item_name'. La fonction strip_php_tags_deep() ne supprime que les séquences littérales '<?', et un nettoyage de placeholders effectué après l'interpolation reconstitue une balise '<?php' valide dans le modèle d'e-mail. Un attaquant authentifié disposant d'un accès de niveau custom ou supérieur peut ainsi exécuter du code sur le serveur (CWE-94). Score CVSS v3.1 : 9.8, sévérité critique.
Description NVD (anglais)
The s2Member plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, <= 260927 via the 'item_name' parameter parameter. This is due to insufficient sanitization in strip_php_tags_deep(), which only strips literal '<?' sequences, combined with a post-interpolation placeholder cleanup that reassembles a valid '<?php' opener after the attacker-controlled value has already been embedded in the email template. This makes it possible for authenticated attackers, with custom-level access and above, to execute code on the server.
Articles d'analyse sur cveo.tech
Cette CVE est analysée dans un article : contexte, versions concernées et correctifs publiés.
Score CVSS v3.1
Informations
- Publié
- 2 nov. 2026
- Mis à jour
- 2 nov. 2026
- Statut
- Deferred
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (9)
CVEs similaires
Autres vulnérabilités de type CWE-94
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.