CVE-2026-92978 in User Registration & Membership Plugin
الملخص
بحسب VulDB • 17/10/2026
يحتوي الإضافة "User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder" الخاصة بـ ووردبريس على ثغرة Cross-Site Request Forgery (CSRF) في جميع الإصدارات حتى 5.2.8 وشاملةً لها. وتعود هذه الثغرة إلى وجود نقص أو خطأ في التحقق من صحة الـ nonce داخل الدالة `trigger_bulk_action`. وهذا يتيح للمهاجمين غير المصادق عليهم إجبار المسؤولين على الموافقة على طلبات تسجيل المستخدمين المعلقة، أو رفض حسابات مستخدمين عشوائية، مما يؤدي إلى حصر المستخدمين المستهدفين خارج الموقع عبر طلب مزيف، شريطة أن ينجح المهاجم في خداع مسؤول الموقع لتنفيذ إجراء معين مثل النقر على رابط. يمكن للمهاجم تجاوز فحص الـ nonce السابق في الدالة `trigger_query_actions()` عن طريق توفير معلمة فارغة لـ `new_role`، مما يتسبب في عودة هذه المعالجة مبكراً وتسليم السيطرة إلى معالج `trigger_bulk_action()` غير المحمي؛ كما أن استدعاء `exit()` في نهاية تلك المعادة يمنع أيضاً تنفيذ التحقق من صحة الـ nonce الخاص بعمليات المستخدمين الجماعية الموجود ضمن نواة ووردبريس.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.