CVE-2026-16736
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.6 nie egzekwuje ustawienia wyłączającej rejestrację w witrynie podczas przetwarzania formularzy rejestracyjnych, co pozwala nieuwierzytelnionym użytkownikom na tworzenie nowych kont nawet gdy administrator wyłączył otwartą rejestrację.
Ocena ryzyka
Ryzyko polega na tym, że nieautoryzowani użytkownicy mogą tworzyć konta w systemie, co może prowadzić do niekontrolowanego dostępu i potencjalnych nadużyć.
Rekomendacja
Zaleca się aktualizację wtyczki User Registration & Membership do wersji 5.2.6 lub nowszej, aby przywrócić egzekwowanie ustawień rejestracji.
Inne podatności w User Registration & Membership WordPress plugin
Zobacz wszystkie- CVE-2026-79996Wysokie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.6 nie przeprowadza sprawdzenia uprawnień podczas zapisywania ustawień logowania. Uwierzytelnieni użytkownicy z uprawnieniami zarządzania wtyczką, ale bez pełnego dostępu administratora, mogą zmieniać dowolne opcje witryny i eskalować swoje uprawnienia do administratora.
- CVE-2026-79995Średnie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.5 nie weryfikuje, czy konto, którego oczekująca zmiana adresu e-mail jest anulowana, należy do użytkownika wykonującego żądanie. Uwierzytelnieni użytkownicy z poziomem Subscriber lub wyższym mogą anulować zmianę e-maila innych użytkowników, w tym administratorów.
Oryginalny opis (angielski, źródło NVD)
The User Registration & Membership WordPress plugin before 5.2.6 does not enforce the site's registration-disabled setting when processing registration-form submissions, allowing unauthenticated users to create new accounts even when the administrator has turned off open registration.