CVE-2026-86407

Wtyczka WordPress 'User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder' we wszystkich wersjach do 5.2.8 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji trigger_bulk_action. Nieuwierzytelnieni atakujący mogą zmusić administratorów do zatwierdzania oczekujących rejestracji użytkowników lub odrzucania dowolnych kont, blokując dostęp docelowym użytkownikom. Atakujący może obejść wcześniejszą kontrolę nonce w trigger_query_actions(), dostarczając pusty parametr new_role, co powoduje wczesne zakończenie tego handlera i przekazanie kontroli do niechronionego trigger_bulk_action(); wywołanie exit() na końcu tego handlera dodatkowo uniemożliwia wykonanie własnej walidacji nonce WordPressa dla masowych operacji na użytkownikach.

Wtyczka User Registration & Membership dla WordPressa (wersje do 5.2.8 włącznie) jest podatna na wykonanie dowolnych shortcode'ów, ponieważ nie waliduje wartości przed uruchomieniem do_shortcode. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wykonać dowolne shortcode'y.

Wtyczka WordPress User Registration & Membership przed wersją 5.2.8 nie sprawdza uprawnień użytkownika dokonującego zakupu członkostwa ani nie waliduje metody płatności i planu. Każdy uwierzytelniony użytkownik, np. subskrybent, może uzyskać rolę WordPress przypisaną do płatnego planu bez płacenia.

Wtyczka WordPress User Registration & Membership przed wersją 5.2.8 nie ogranicza odpowiednio, kto może tworzyć plan członkostwa, ani nie waliduje planu przypisanego do własnego konta. Uwierzytelnieni użytkownicy z uprawnieniami Author i wyższymi mogą przypisać sobie dowolną rolę i eskalować uprawnienia do Administratora.

Wtyczka WordPress User Registration & Membership przed wersją 5.2.6 nie przeprowadza sprawdzenia uprawnień podczas zapisywania ustawień logowania. Uwierzytelnieni użytkownicy z uprawnieniami zarządzania wtyczką, ale bez pełnego dostępu administratora, mogą zmieniać dowolne opcje witryny i eskalować swoje uprawnienia do administratora.

Wtyczka WordPress User Registration & Membership przed wersją 5.2.5 nie weryfikuje, czy konto, którego oczekująca zmiana adresu e-mail jest anulowana, należy do użytkownika wykonującego żądanie. Uwierzytelnieni użytkownicy z poziomem Subscriber lub wyższym mogą anulować zmianę e-maila innych użytkowników, w tym administratorów.

Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.6 nie egzekwuje ustawienia wyłączającej rejestrację w witrynie podczas przetwarzania formularzy rejestracyjnych, co pozwala nieuwierzytelnionym użytkownikom na tworzenie nowych kont nawet gdy administrator wyłączył otwartą rejestrację.