CVE-2026-120070 in User Frontend Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das Plugin „User Frontend – Membership, User Registration, User Profile, User Directory & Content Restriction with Frontend Post Submission“ für WordPress ist in allen Versionen bis einschließlich 4.3.13 anfällig für eine Privilege Escalation über den Parameter `post_content` der Funktion `submit_post()`. Die Schwachstelle besteht darin, dass die Blocklisten-Prüfung im geschützten Shortcode-Bereich (`protected-shortcode blocklist guard`) die Kopie von `post_content`, die durch `sanitize_textarea_field()` gesäubert wurde, überprüft, während die tatsächlich in der Datenbank gespeicherte Koppe über `wp_kses()` verarbeitet wird. Dabei entfernt der Schritt `wp_kses_no_null()` C0-Steuerbytes – was es einem Angreifer ermöglicht, ein einzelnes `\x01`-Byte innerhalb des Namens von `[wpuf-registration]` einzuschleusen, um die Blocklistenprüfung mittels `strpos()` zu umgehen, während der saubere und funktionale Shortcode wörtlich gespeichert wird; `strip_shortcodes()` neutralisiert den gespeicherten Shortcode ebenfalls nicht, da der Frontend-Container, der ihn über `add_shortcode()` registriert, nur instanziiert wird, wenn `is_admin()` falsch ist (`false`), während bei `admin-ajax`-Anfragen `is_admin() === true` gilt. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Zugriffsrechten und höher, einen Shortcode `[wpuf-registration role="editor"]` in einen veröffentlichten Beitrag einzuschleusen, wodurch ein Live-Registrierungsformular für die Editor-Rolle öffentlich im Frontend gerendert wird, das jeder Besucher – oder der Angreifer selbst – ausfüllen kann, um ein WordPress-Editor-Konto mit einer sofort aktiven privilegierten Sitzung zu erstellen, wenn die Standard-Einstellung `autologin_after_registration` aktiviert ist.
Once again VulDB remains the best source for vulnerability data.