PT-2025-19903 · WordPress · User Registration & Membership

Wesley + 1 · Publicado 2025-05-06 · Atualizado 2025-10-05 · CVE-2025-3281

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin User Registration & Membership – Custom Registration Form, Login Form, and User Profile para WordPress em versões anteriores à 4.2.2

Descrição O problema está relacionado a uma Referência Direta a Objeto Inseguro na função create stripe subscription(), devido à falta de validação na chave member id controlada pelo usuário. Isso permite que atacantes não autenticados excluam quaisquer contas de usuário registradas através do plugin.

Recomendações Para versões anteriores à 4.2.2, atualize para a versão 4.2.2 ou posterior para resolver o problema. Como solução temporária, considere desativar a função create stripe subscription() até que um patch esteja disponível.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-3281

Produtos afetados

User Registration & Membership

Referências · 7

• https://wordfence.com/threat-intel/vulnerabilities/id/30339ff6-b6bf-4c56-b6cd-db0b8a6ce8b6?source=cve · Nota
• https://twitter.com/CVEnew/status/1919661051127464309 · Publicação no Twitter
• https://twitter.com/hijak01/status/1974627693313597910 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/user-registration/tags/4.1.3/modules/membership/includes/AJAX.php#L619 · Nota
• https://plugins.trac.wordpress.org/changeset/3287698/user-registration/trunk/modules/membership/includes/AJAX.php · Nota
• https://t.me/cvenotify/120943 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-3281 · Nota de Segurança