CVE-2025-14844: Kritische Authentifizierungs-Lücke in WordPress-Membership-Plugin
⚠️ CVE-Referenzen:
CVE-2025-14844
Zusammenfassung
Das WordPress-Plugin "Membership Plugin - Restrict Content" weist eine Sicherheitslücke auf, die es Angreifern ohne Authentifizierung ermöglicht, sensible Daten wie Stripe-SetupIntents abzugreifen. Das Problem liegt in einer fehlenden Berechtigungsprüfung in der Funktion "rcp_stripe_create_setup_intent_for_saved_card". Betroffen sind alle Versionen bis 3.2.16 des Plugins, ein Patch ist dringend erforderlich.
WordPress - Membership Plugin – Restrict Content - HIGH - CVE-2025-14844.
The Membership Plugin – Restrict Content for WordPress has a vulnerability that allows unauthorized users to access sensitive client_secret values from Stripe SetupIntents. This exploit arises from the absence of a capability check in the 'rcp_stripe_create_setup_intent_for_saved_card' function, coupled with the failure to validate a user-controlled key. Consequently, unauthenticated attackers have the potential to leak sensitive membership-related data, presenting a serious risk for all installations of the plugin up to version 3.2.16.
Quelle: securityvulnerability.io