CVE-2025-3292

Nome do Software Vulnerável e Versões Afetadas: Plugin User Registration & Membership – Custom Registration Form, Login Form, and User Profile para WordPress, versões até, inclusive, 4.1.3

Descrição: A vulnerabilidade permite que atacantes não autenticados atualizem as senhas de outros usuários se tiverem acesso ao user id e ao e-mail, devido à falta de validação na chave user id controlada pelo usuário na função user registration update profile details(). Trata-se de uma vulnerabilidade de Referência Direta a Objetos Insegura.

Recomendações: Para versões até, inclusive, 4.1.3, considere desativar a função user registration update profile details() até que uma correção esteja disponível para prevenir a exploração. Restrinja o acesso ao parâmetro user id para minimizar o risco de atualizações de senha não autorizadas.