CVE-2026-14250

Nome do Software Vulnerável e Versões Afetadas Themehunk Login Registration versões anteriores a 1.0.3

Descrição Existe um problema onde invasores não autenticados podem alcançar a escalada de privilégios quando o registro público de usuários está habilitado. A função handle frontend register() no endpoint REST '/thlogin/v1/register' aceita um parâmetro role controlado pelo usuário. Este parâmetro é validado usando get editable roles(), que inclui todas as funções editáveis do site, como 'editor', antes de ser passado para wp insert user(). Isso permite que um invasor crie novas contas com privilégios elevados, especificamente a função de editor.

Recomendações Atualize o Themehunk Login Registration para uma versão posterior a 1.0.2. Como mitigação temporária, desative o registro público de usuários ou restrinja o acesso ao endpoint '/thlogin/v1/register'.