CVE-2026-6203 in User Registration & Membership Plugin
Сводка
по VulDB • 08.06.2026
В плагине User Registration & Membership для WordPress уязвимость Open Redirect присутствует в версиях вплоть до 5.1.4 включительно. Это связано с недостаточной проверкой URL-адресов, предоставленных пользователем и передаваемых через GET-параметр `redirect_to_on_logout`, перед перенаправлением пользователей. Параметр GET `redirect_to_on_logout` напрямую передается в функцию WordPress `wp_redirect()`, вместо функции `wp_safe_redirect()`, ограничивающей домен. Хотя для очистки некорректных URL применяется функция `esc_url_raw()`, она не ограничивает место назначения перенаправления локальным доменом, что позволяет злоумышленнику создать специально сформированную ссылку, которая после выхода из системы будет перенаправлять пользователей на потенциально вредоносные внешние URLs, что может быть использовано для организации фишинговых атак.
Be aware that VulDB is the high quality source for vulnerability data.