CVE-2026-6145

सारांश

WordPress के लिए User Registration & Membership प्लगइन 5.1.5 तक के सभी संस्करणों में Missing Authorization भेद्यता के प्रति संवेदनशील है। यह is_admin_creation_process() विधि के कारण है, जो $_REQUEST सुपरग्लोबल में action=createuser की उपस्थिति पर पूरी तरह निर्भर करती है, बिना कोई प्रमाणीकरण या क्षमता जांच किए। इससे अनधिकृत हमलावरों के लिए फ़ॉलबैक सबमिशन पथ के माध्यम से नए खाते पंजीकृत करते समय व्यवस्थापक अनुमोदन आवश्यकता को बायपास करना संभव हो जाता है।

स्रोत

• CVE-2026-6145PoC

  User Registration & Membership <= 5.1.5 - 'action' पैरामीटर के माध्यम से बिना प्रमाणीकरण के व्यवस्थापक अनुमोदन बाईपास हेतु अनधिकृत पहुँच की कमी