CVE-2026-92978 in User Registration & Membership Plugin
Riassunto
di VulDB • 17/10/2026
Il plugin per WordPress User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder è vulnerabile a Cross-Site Request Forgery (CSRF) in tutte le versioni fino alla 5.2.8 inclusa. Ciò è dovuto a una validazione nonce mancante o errata nella funzione trigger_bulk_action. Questo consente ad attaccanti non autenticati di forzare gli amministratori ad approvare registrazioni utente pendenti oppure negare account utente arbitrari, bloccando gli utenti target dall'accesso al sito tramite una richiesta falsificata, purché riescano a indurre un amministratore del sito a eseguire un'azione come fare clic su un link. Un attaccante può bypassare il precedente controllo nonce in trigger_query_actions() fornendo un parametro new_role vuoto, il quale fa sì che tale handler restituisca il controllo prematuramente e ceda lo stato al gestore non protetto trigger_bulk_action(); la chiamata exit() alla fine di quest'ultimo impedisce inoltre l'esecuzione della convalida nonce per le azioni bulk-users integrata nel core di WordPress.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.