Memberful Membership Plugin: Cross-Site Request Forgery (CSRF)
Zusammenfassung
Das Memberful - Membership Plugin (memberful-wp) für WordPress ist in allen Versionen bis und mit 1.81.0 von einer Cross-Site Request Forgery Schwachstelle betroffen. Ein Angreifer kann einen angemeldeten Benutzer dazu bringen, einen manipulierten Link anzuklicken oder eine präparierte Seite zu besuchen, wodurch ungewollte Aktionen wie das Ändern von Passwörtern oder Käufe ausgelöst werden. Für die Ausnutzung ist eine Interaktion des Benutzers nötig; welche Rolle dafür benötigt wird, ist in den Quellen nicht bestätigt.
Betroffen
- Memberful - Membership Plugin (memberful-wp) für WordPress, Versionen bis und mit 1.81.0
- Versionen von n/a bis 1.81.0 gemäss CNA-Eintrag
Behoben in
- Version 1.81.1 ist laut Patchstack und CNA die erste gepatchte Version
- Die WordPress.org-Seite listet 1.82.2 als neueste Version zum Zeitpunkt der Recherche
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Patchstack empfiehlt, das Plugin sofort zu aktualisieren, oder den Hosting-Anbieter beziehungsweise Webentwickler um Unterstützung zu bitten.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar nein
- Patchstack stuft die Schwachstelle als Low priority mit geringer Auswirkung und unwahrscheinlicher Ausnutzung ein
- Der Status im CISA-KEV-Katalog wurde nicht direkt geprüft
Unsere Empfehlung
- Das Memberful-Plugin auf allen WordPress-Seiten auf die neueste Version (mindestens 1.81.1) aktualisieren
- Die installierte Version in der Plugin-Liste jeder Seite überprüfen
- Nach dem Update prüfen, ob die Memberful-Verbindung und die Administratorkonten korrekt funktionieren
- Administrator- und Mitgliedersitzungen auf vertrauenswürdige Browser beschränken und im angemeldeten Zustand keine unbekannten Links anklicken
- Auf unerwartete Passwortänderungen oder Käufe achten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for Memberful Membership Plugin up to 1.81.0 patchstack.com
- WordPress.org plugin page for Memberful - Membership Plugin wordpress.org
- Patchstack vulnerability list for memberful-wp patchstack.com
- Strix AI CVE mirror for CVE-2026-103067 www.strix.ai
- Memberful changelog memberful.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.