CVE-2026-92978 in User Registration & Membership Plugin
요약
\~에 의해 VulDB • 2026. 10. 17.
WordPress용 User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder 플러그인은 5.2.8 버전까지 모든 버전에서 Cross-Site Request Forgery(CSRF) 취약점에 노출되어 있습니다. 이는 trigger_bulk_action 함수에서 nonce 검증이 누락되었거나 잘못 구현되었기 때문입니다. 이로 인해 인증되지 않은 공격자가 위조된 요청을 통해 사이트 관리자를 속여 대기 중인 사용자 등록을 승인하거나 임의의 사용자 계정을 거부하도록 강요할 수 있으며, 이를 통해 대상 사용자의 사이트 접근이 차단됩니다(예: 링크 클릭과 같은 관리자 작업 수행 유도). 또한 공격자는 trigger_query_actions() 함수에서 이전 nonce 검증을 우회하기 위해 빈 new_role 매개변수를 제공하여 해당 핸들러가 조기에 종료되도록 하고 보호되지 않은 trigger_bulk_action() 핸들러로 제어를 넘길 수 있습니다. 이 핸들더 끝부분에 있는 exit() 호출은 WordPress 코어의 자체 bulk-users nonce 검증이 실행되는 것을 추가로 방지합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.