Kritická zraniteľnosť modulu WordPress User Registration & Membership

Spoločnosť WPEverest vydala bezpečnostnú aktualizáciu svojho modulu User Registration & Membership pre WordPress, ktorá opravuje aktívne zneužívanú kritickú zraniteľnosť CVE-2026-1492. Vzdialený neautentifikovaný útočník ju môže zneužiť na vytvorenie administrátorského účtu.

Zraniteľné systémy:

  • User Registration & Membership pre WordPress, verzia 5.1.2 a staršie

Opis činnosti:

CVE-2026-1492 (CVSS skóre 9,8)

Kritická chyba modulu User Registration & Membership pre WordPress vyplýva z nevhodného manažmentu oprávnení. Používateľ môže pri registrácii zadať svoju rolu, ktorú systém akceptuje bez overenia na strane servera. Neautentifikovaný útočník si tak môže vytvoriť účet s administrátorskými oprávneniami, s ktorým môže napríklad vykonávať zmeny na webstránke, pristupovať k jej databázam, inštalovať moduly, zasahovať do PHP kódu, či meniť bezpečnostné nastavenia.

Spoločnosť Defiant informovala o aktívnom zneužívaní zraniteľnosti.

Možné škody:

  • Eskalácia oprávnení
  • Únik citlivých informácií

Odporúčania:

Bezodkladná aktualizácia modulu User Registration & Membership pre WordPress aspoň na verziu 5.1.3.

Taktiež odporúčame vykonať audit používateľských kont kvôli prítomnosti neautorizovaných účtov, prípadne logoch kvôli stopám poukazujúcim na pokus o zneužitie zraniteľnosti.

Odkazy: