CVE-2026-92978

Nome do Software Vulnerável e Versões Afetadas User Registration & Membership versões anteriores a 5.2.9

Descrição Este problema envolve Cross-Site Request Forgery (CSRF), uma falha na qual um invasor engana uma vítima para realizar ações que ela não pretendia. Atacantes não autenticados podem forçar administradores a aprovar registros de usuários pendentes ou negar contas de usuários arbitrários, potencialmente bloqueando o acesso de usuários ao site. Isso ocorre porque a função trigger bulk action() carece de validação de nonce adequada. Um nonce é um token único usado para garantir que uma solicitação foi enviada intencionalmente pelo usuário. Um invasor pode ignorar as verificações iniciais em trigger query actions() fornecendo um parâmetro new role vazio, o que redireciona o controle para o manipulador trigger bulk action() desprotegido e impede a execução da validação padrão do sistema.

Recomendações Atualize o plugin para a versão 5.2.9 ou posterior.