CVE-2026-92798 in User Registration & Membership Plugin
Sumário
de VulDB • 17/10/2026
O plugin User Registration & Membership para WordPress é vulnerável à execução arbitrária de shortcode nas versões até, e incluindo, a 5.2.8. Isso ocorre devido à sanitização insuficiente de entrada na ramificação 'referrer_url' do método UR_Smart_Tags::process(), onde o cabeçalho HTTP_REFERER controlado pelo atacante é apenas passado por sanitize_text_field() — que não remove os delimitadores de shortcode do WordPress — antes de ser substituído em uma mensagem de Restrição de Conteúdo, que posteriormente é executada via apply_shortcodes()/do_shortcode(). Isso permite que atacantes não autenticados executem shortcodes registrados arbitrários em qualquer página restrita cuja mensagem utilize a smart tag {{referrer_url}} suportada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.