PT-2025-16167 · WordPress · User Registration & Membership

Wesley · CVE-2025-3282 · Publicado 2025-04-12 · Atualizado 2025-07-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas: Plugin User Registration & Membership – Custom Registration Form, Login Form, and User Profile para WordPress, versões até, e incluindo, 4.1.3

Descrição: A falha permite que atacantes não autenticados atualizem a associação de qualquer usuário para qualquer outro tipo de associação ativo ou não ativo devido à falta de validação na chave membership id controlada pelo usuário na função user registration membership register member(). Isso é resultado de uma Referência Direta a Objeto Inseguro.

Recomendações: Para versões até, e incluindo, 4.1.3, considere desativar a função user registration membership register member() até que uma correção esteja disponível para prevenir a exploração. Restrinja o acesso à chave membership id para minimizar o risco de atualizações de associação não autorizadas.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-3282

Produtos afetados

User Registration & Membership

Referências · 10

• https://t.me/cvenotify/128053 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3268617/user-registration/trunk/modules/membership/includes/AJAX.php · Correção
• https://t.me/cvedetector/22793 · Publicação no Telegram
• https://t.me/cvenotify/118979 · Publicação no Telegram
• https://t.me/cvetracker/21468 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1911143625267855452 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-3282 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1910949784761872468 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-3282 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/c525b41c-dca5-442a-927e-4583cb303ed1?source=cve · Nota