CVE-2026-92978
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress 'User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder' we wszystkich wersjach do 5.2.8 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji trigger_bulk_action. Nieuwierzytelnieni atakujący mogą zmusić administratorów do zatwierdzania oczekujących rejestracji użytkowników lub odrzucania dowolnych kont, blokując dostęp docelowym użytkownikom. Atakujący może obejść wcześniejszą kontrolę nonce w trigger_query_actions(), dostarczając pusty parametr new_role, co powoduje wczesne zakończenie tego handlera i przekazanie kontroli do niechronionego trigger_bulk_action(); wywołanie exit() na końcu tego handlera dodatkowo uniemożliwia wykonanie własnej walidacji nonce WordPressa dla masowych operacji na użytkownikach.
Ocena ryzyka
Atakujący może wymusić na administratorze zatwierdzenie lub odrzucenie kont użytkowników, co może prowadzić do nieautoryzowanego dostępu lub zablokowania legalnych użytkowników. Może to naruszyć bezpieczeństwo witryny i dostępność usług.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 5.2.8, która naprawia tę podatność. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu wydania poprawki.
Inne podatności w User Registration & Membership WordPress plugin
Zobacz wszystkie- CVE-2026-15222Średnie
Wtyczka User Registration & Membership dla WordPressa (wersje do 5.2.8 włącznie) jest podatna na wykonanie dowolnych shortcode'ów, ponieważ nie waliduje wartości przed uruchomieniem do_shortcode. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wykonać dowolne shortcode'y.
- CVE-2026-86407Niskie
Wtyczka WordPress User Registration & Membership w wersjach przed 5.2.8 nie weryfikuje, czy odwiedzający żądający strony potwierdzenia członkostwa jest właścicielem konta wskazanego w żądaniu, ani czy doszło do rejestracji lub zakupu. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie adresu e-mail, pól profilu, roli i szczegółów zamówienia członkostwa innego użytkownika.
- CVE-2026-86406Wysokie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.8 nie sprawdza uprawnień użytkownika dokonującego zakupu członkostwa ani nie waliduje metody płatności i planu. Każdy uwierzytelniony użytkownik, np. subskrybent, może uzyskać rolę WordPress przypisaną do płatnego planu bez płacenia.
- CVE-2026-80071Wysokie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.8 nie ogranicza odpowiednio, kto może tworzyć plan członkostwa, ani nie waliduje planu przypisanego do własnego konta. Uwierzytelnieni użytkownicy z uprawnieniami Author i wyższymi mogą przypisać sobie dowolną rolę i eskalować uprawnienia do Administratora.
- CVE-2026-79996Wysokie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.6 nie przeprowadza sprawdzenia uprawnień podczas zapisywania ustawień logowania. Uwierzytelnieni użytkownicy z uprawnieniami zarządzania wtyczką, ale bez pełnego dostępu administratora, mogą zmieniać dowolne opcje witryny i eskalować swoje uprawnienia do administratora.
- CVE-2026-79995Średnie
Wtyczka WordPress User Registration & Membership przed wersją 5.2.5 nie weryfikuje, czy konto, którego oczekująca zmiana adresu e-mail jest anulowana, należy do użytkownika wykonującego żądanie. Uwierzytelnieni użytkownicy z poziomem Subscriber lub wyższym mogą anulować zmianę e-maila innych użytkowników, w tym administratorów.
- CVE-2026-16736Wysokie
Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.6 nie egzekwuje ustawienia wyłączającej rejestrację w witrynie podczas przetwarzania formularzy rejestracyjnych, co pozwala nieuwierzytelnionym użytkownikom na tworzenie nowych kont nawet gdy administrator wyłączył otwartą rejestrację.
Oryginalny opis (angielski, źródło NVD)
The User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 5.2.8 This is due to missing or incorrect nonce validation on the trigger_bulk_action function. This makes it possible for unauthenticated attackers to force administrators to approve pending user registrations or deny arbitrary user accounts, locking targeted users out of the site via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. An attacker can bypass the earlier nonce check in trigger_query_actions() by supplying an empty new_role parameter, which causes that handler to return early and cede control to the unprotected trigger_bulk_action() handler; the exit() call at the end of that handler additionally prevents WordPress core's own bulk-users nonce validation from executing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS