CVE-2026-104803: Bypass Autentikasi Kritis di WPCOM Member

CVE ID	CVE-2026-104803
Severity	CRITICAL — CVSS CVSS V3.1 9.8
Vector	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-287 CWE-287 Improper Authentication
Produk	whyun / WPCOM Member — 0 (affected)
Dipublikasikan	2026-10-10

Ringkasan Cepat

• CVE-2026-104803 adalah bypass autentikasi kritis (CVSS 9.8) pada plugin WordPress WPCOM Member hingga versi 1.7.27.
• Handler social-login pada hook init tidak memvalidasi nonce/state OAuth dan tidak mengisolasi session per pengunjung, sehingga entri sesi dapat dipalsukan untuk login sebagai pengguna mana pun, termasuk administrator, jika openid/unionid target diketahui atau dapat dienumerasi.
• Mitigasi utama: perbarui plugin, nonaktifkan sementara social login jika patch belum tersedia, dan audit akun dengan identitas sosial terikat.

Ringkasan Kerentanan

CVE-2026-104803 adalah kerentanan Authentication Bypass pada plugin WordPress WPCOM Member. Judul CNA menyebut WPCOM Member <= 1.7.27 - Unauthenticated Authentication Bypass via parameter uuid dan code pada Social-Login Callback.

Deskripsi resmi menyatakan kerentanan terjadi pada handler callback social-login yang terdaftar di hook init. Alur social-login pada fungsi login tidak melakukan validasi nonce, tidak memverifikasi state OAuth, dan tidak memiliki isolasi namespace per pengunjung di session store.

Severity: CRITICAL 9.8 (CVSS v3.1), vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. CWE: CWE-287 Improper Authentication. Tanggal publikasi: 2026-10-10T07:41:44.669Z.

Dampak Teknis

Karena tidak ada validasi nonce, verifikasi state OAuth, dan isolasi session per pengunjung, penyerang tanpa autentikasi dapat menulis entri ke namespace sesi global dengan memanfaatkan awalan garis bawah untuk melewati prefiks per pengunjung. Entri palsu itu kemudian dapat dibaca oleh fungsi weapp_new_user() dan dipetakan ke akun WordPress yang terikat dengan nilai openid yang disuplai penyerang.

Jika pemetaan berhasil, wp_set_auth_cookie() dapat membentuk sesi yang sepenuhnya terautentikasi. Ini memungkinkan login sebagai pengguna WordPress mana pun, termasuk administrator, selama penyerang mengetahui atau dapat menemukan identifier sosial yang terikat (openid/unionid) milik korban.

Eksploitasi yang berhasil memerlukan setidaknya satu penyedia sosial terkonfigurasi pada situs, karena konfigurasi itu mengaktifkan handler rentan. Dampak kerentanan mencakup hilangnya kerahasiaan, integritas, dan ketersediaan pada tingkat tinggi sesuai vektor CVSS.

Produk Terdampak

Vendor: whyun. Produk: WPCOM Member. Data CVE mencantumkan versi produk 0 (affected), sedangkan deskripsi resmi menyatakan semua versi hingga dan termasuk 1.7.27 terdampak.

Kerentanan hanya relevan pada instalasi yang mengaktifkan setidaknya satu penyedia social login. Referensi resmi mencakup Wordfence Threat Intel dan WordPress Plugin Trac untuk berkas includes/social-login.php serta includes/class-sesstion.php pada tag 1.7.27 dan trunk.

Konteks dan Prioritas

Dengan CVSS 9.8 CRITICAL, vektor AV:N/AC:L/PR:N/UI:N, kerentanan ini dapat dieksploitasi dari jaringan tanpa hak akses, tanpa interaksi pengguna, dan tanpa akun awal. Karena itu, patch atau mitigasi sementara perlu diprioritaskan, terutama pada situs yang mengandalkan social login WPCOM Member.

Fakta CVE tidak menyebut adanya bukti eksploitasi aktif di lapangan. Meski demikian, kontrol defensif tetap penting: pantau pembaruan vendor, kurangi fitur yang tidak diperlukan, dan audit akun dengan identitas sosial terikat.

Mitigasi dan Perbaikan

• Perbarui plugin WPCOM Member ke versi terbaru yang dirilis setelah 1.7.27 jika vendor menyediakannya. Pantau halaman Wordfence Threat Intel dan WordPress Plugin Trac yang tercantum di referensi CVE.
• Jika patch resmi belum tersedia, nonaktifkan sementara plugin WPCOM Member. Jika plugin harus tetap aktif, nonaktifkan fitur social login agar handler rentan tidak aktif.
• Audit akun WordPress, khususnya administrator, yang memiliki bound openid atau unionid. Periksa log login/sesi untuk aktivitas mencurigakan dan lakukan reset kredensial serta invalidasi sesi jika ada indikasi kompromi.
• Batasi atau pantau akses ke endpoint callback social-login melalui WAF, reverse proxy, atau log server, dengan perhatian pada permintaan yang memuat parameter uuid dan code.
• Terapkan least privilege pada akun administrator dan pastikan hanya penyedia sosial yang benar-benar dibutuhkan yang dikonfigurasi untuk mengurangi permukaan serangan.

Referensi Resmi

• CVE-2026-104803 — CVE Program (cve.org)
• https://www.wordfence.com/threat-intel/vulnerabilities/id/3dee7f76-bd66-4e54-8ef6-bbf581ebcc11?source=cve
• https://plugins.trac.wordpress.org/browser/wpcom-member/tags/1.7.27/includes/social-login.php#L1235
• https://plugins.trac.wordpress.org/browser/wpcom-member/tags/1.7.27/includes/social-login.php#L91
• https://plugins.trac.wordpress.org/browser/wpcom-member/tags/1.7.27/includes/social-login.php#L674
• https://plugins.trac.wordpress.org/browser/wpcom-member/tags/1.7.27/includes/class-sesstion.php#L13
• https://plugins.trac.wordpress.org/browser/wpcom-member/trunk/includes/social-login.php

Artikel ini disusun dari data publik CVE Program (cve.org). Selalu verifikasi patch resmi dari vendor sebelum menerapkan perubahan.

Pertanyaan yang Sering Diajukan (FAQ)

Apa itu CVE-2026-104803?

CVE-2026-104803 adalah kerentanan Authentication Bypass pada plugin WordPress WPCOM Member, terkait CWE-287 Improper Authentication. Judul CNA menyebut WPCOM Member <= 1.7.27 dan bypass tanpa autentikasi melalui parameter uuid dan code pada callback social-login.

Seberapa parah kerentanan ini?

Severity CRITICAL 9.8 berdasarkan CVSS v3.1 dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Dampaknya tinggi terhadap kerahasiaan, integritas, dan ketersediaan.

Versi WPCOM Member mana yang terdampak?

Semua versi hingga dan termasuk 1.7.27. Data produk CVE mencantumkan vendor whyun, produk WPCOM Member, versi 0 (affected).

Apakah penyerang perlu login terlebih dahulu?

Tidak. Kerentanan ini unauthenticated alias dapat dieksploitasi tanpa autentikasi. Namun eksploitasi yang berhasil memerlukan setidaknya satu penyedia sosial terkonfigurasi dan penyerang mengetahui atau dapat menemukan openid/unionid korban.

Siapa yang paling berisiko?

Pengguna WordPress mana pun, termasuk administrator, yang memiliki identifier sosial terikat dan dapat diketahui atau dienumerasi oleh penyerang.

Apa langkah mitigasi utama?

Perbarui plugin jika patch tersedia, nonaktifkan plugin atau social login bila belum ada patch, audit akun dengan identitas sosial terikat, pantau endpoint callback social-login, dan terapkan least privilege.

English Version — CVE-2026-104803: Critical Authentication Bypass in WPCOM Member

Quick Summary

• CVE-2026-104803 is a critical authentication bypass (CVSS 9.8) in the WordPress plugin WPCOM Member up to version 1.7.27.
• The social-login handler on the init hook does not validate the OAuth nonce/state and does not isolate sessions per visitor, so session entries can be forged to log in as any user, including an administrator, if the target's openid/unionid is known or can be enumerated.
• Primary mitigations: update the plugin, temporarily disable social login if no patch is available, and audit accounts with linked social identities.

Vulnerability Summary

CVE-2026-104803 is an Authentication Bypass vulnerability in the WordPress plugin WPCOM Member. The CNA title states WPCOM Member <= 1.7.27 - Unauthenticated Authentication Bypass via the uuid and code parameters in the Social-Login Callback.

The official description states that the vulnerability occurs in the social-login callback handler registered on the init hook. The social-login flow in the login function does not validate a nonce, does not verify the OAuth state, and lacks per-visitor namespace isolation in the session store.

Severity: CRITICAL 9.8 (CVSS v3.1), vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. CWE: CWE-287 Improper Authentication. Publication date: 2026-10-10T07:41:44.669Z.

Technical Impact

Because there is no nonce validation, OAuth state verification, or per-visitor session isolation, an unauthenticated attacker can write entries to the global session namespace by using an underscore prefix to bypass the per-visitor prefix. Those forged entries can then be read by the weapp_new_user() function and mapped to a WordPress account linked to the attacker-supplied openid value.

If the mapping succeeds, wp_set_auth_cookie() can establish a fully authenticated session. This allows logging in as any WordPress user, including an administrator, as long as the attacker knows or can discover the victim's linked social identifier (openid/unionid).

Successful exploitation requires at least one configured social provider on the site, because that configuration enables the vulnerable handler. The vulnerability's impact includes high-level loss of confidentiality, integrity, and availability according to the CVSS vector.

Affected Products

Vendor: whyun. Product: WPCOM Member. The CVE data lists product version 0 (affected), while the official description states that all versions up to and including 1.7.27 are affected.

The vulnerability is only relevant on installations that enable at least one social login provider. Official references include Wordfence Threat Intel and WordPress Plugin Trac for the files includes/social-login.php and includes/class-sesstion.php at tag 1.7.27 and trunk.

Context and Priority

With a CVSS score of 9.8 CRITICAL and the vector AV:N/AC:L/PR:N/UI:N, this vulnerability can be exploited from the network without privileges, without user interaction, and without an initial account. Therefore, patching or temporary mitigation should be prioritized, especially on sites that rely on WPCOM Member social login.

The CVE facts do not mention evidence of active exploitation in the wild. Nevertheless, defensive controls remain important: monitor vendor updates, reduce unnecessary features, and audit accounts with linked social identities.

Mitigation

• Update the WPCOM Member plugin to the latest version released after 1.7.27 if the vendor provides one. Monitor the Wordfence Threat Intel and WordPress Plugin Trac pages listed in the CVE references.
• If an official patch is not yet available, temporarily deactivate the WPCOM Member plugin. If the plugin must remain active, disable the social login feature so the vulnerable handler is not active.
• Audit WordPress accounts, especially administrators, that have a bound openid or unionid. Check login/session logs for suspicious activity and perform credential resets and session invalidation if there are indications of compromise.
• Restrict or monitor access to the social-login callback endpoint through a WAF, reverse proxy, or server logs, with attention to requests containing the uuid and code parameters.
• Apply least privilege to administrator accounts and ensure only the social providers that are truly needed are configured to reduce the attack surface.

FAQ (English)

What is CVE-2026-104803?

CVE-2026-104803 is an Authentication Bypass vulnerability in the WordPress plugin WPCOM Member, related to CWE-287 Improper Authentication. The CNA title states WPCOM Member <= 1.7.27 and unauthenticated bypass via the uuid and code parameters in the social-login callback.

How severe is this vulnerability?

Severity CRITICAL 9.8 based on CVSS v3.1 with vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. The impact is high on confidentiality, integrity, and availability.

Which versions of WPCOM Member are affected?

All versions up to and including 1.7.27. The CVE product data lists vendor whyun, product WPCOM Member, version 0 (affected).

Does the attacker need to log in first?

No. This vulnerability is unauthenticated, meaning it can be exploited without authentication. However, successful exploitation requires at least one configured social provider and the attacker knowing or being able to discover the victim's openid/unionid.

Who is most at risk?

Any WordPress user, including administrators, who has a linked social identifier that can be known or enumerated by an attacker.

What are the main mitigation steps?

Update the plugin if a patch is available, deactivate the plugin or social login if no patch is available, audit accounts with linked social identities, monitor the social-login callback endpoint, and apply least privilege.