CVE-2026-92798 in User Registration & Membership Plugin
الملخص
بحسب VulDB • 17/10/2026
يحتوي إضافة التسجيل العضوية (User Registration & Membership) لـ WordPress على ثغرة تسمح بتنفيذ شورت كود تعسفي في الإصدارات حتى 5.2.8 وشاملة لها. ويعزى ذلك إلى عدم كفاية تنقية المدخلات في فرع 'referrer_url' التابع للدالة UR_Smart_Tags::process()، حيث يتم تمرير رأس HTTP_REFERER الذي يتحكم فيه المهاجم فقط عبر دالة sanitize_text_field() — التي لا تقوم بإزالة فواصل شورت كود ووردبريس — قبل استبدالها برسالة تقييد المحتوى التي تُنفَّذ لاحقاً عن طريق apply_shortcodes()/do_shortcode(). وهذا يمكّن المهاجمين غير المصادق عليهم من تنفيذ أي شورت كود مسجل بشكل تعسفي على أي صفحة مقيدة تستخدم الرسالة المدعومة {{referrer_url}} smart tag.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.