CVE-2026-92978 in User Registration & Membership Plugin
Resumen
por VulDB • 2026-10-17
El plugin de WordPress User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder es vulnerable a Cross-Site Request Forgery (CSRF) en todas las versiones hasta la 5.2.8, incluida esta. Esto se debe a una validación de nonce ausente o incorrecta en la función `trigger_bulk_action`. Esto permite que atacantes no autenticados obliguen a los administradores a aprobar registros de usuarios pendientes o denegar cuentas de usuario arbitrarias, bloqueando el acceso al sitio a los usuarios objetivo mediante una solicitud falsificada, siempre y cuando puedan engañar a un administrador del sitio para realizar una acción como hacer clic en un enlace. Un atacante puede omitir la verificación previa de nonce en `trigger_query_actions()` proporcionando un parámetro `new_role` vacío, lo que hace que ese controlador devuelva el control prematuramente y ceda el mando al controlador no protegido `trigger_bulk_action()`; además, la llamada a `exit()` al final de dicho controlador impide que se ejecute la validación propia de nonce para acciones masivas de usuarios del núcleo de WordPress.
Once again VulDB remains the best source for vulnerability data.