SK-CERT Bezpečnostné varovanie V20260306-02

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	9.8

Identifikátor

WordPress plugin User Registration & Membership – aktívne zneužívaná kritická bezpečnostná zraniteľnosť

Popis

Vývojári WordPress pluginu User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder vydali bezpečnostnú aktualizáciu svojho produktu, ktorá opravuje aktívne zneužívanú kritickú bezpečnostnú zraniteľnosť. Aktívne zneužívaná kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2026-1492 sa nachádza v logike registrácie používateľov, ktorí môžu zvoliť typ vytváraného konta a umožňuje vzdialenému, neautentifikovanému útočníkovi pri registrácii členstva vytvoriť účty s právomocami administrátora a tým eskalovať svoje privilégiá a následne získať úplnú kontrolu nad systémom.

Dátum prvého zverejnenia varovania

2.3.2026

CVE

CVE-2026-1492

IOC

–

Zasiahnuté systémy

User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder vo verzii staršej ako 5.1.3

Následky

Eskalácia privilégií Úplné narušenie dôvernosti, integrity a dostupnosti systému

Odporúčania

Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč.

Zdroje

https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-512-unauthenticated-privilege-escalation-via-membership-registration

« Späť na zoznam