User Registration & Membership WordPress-Plugin: Ausführung beliebiger Shortcodes über Referer

Zusammenfassung

Das Plugin User Registration & Membership für WordPress bis einschliesslich Version 5.2.8 bereinigt den HTTP-Referer-Header nicht ausreichend, wenn er im Smart Tag {{referrer_url}} von Content-Restriction-Meldungen verwendet wird. Ein Angreifer kann dadurch WordPress-Shortcodes einschleusen, die auf eingeschränkten Seiten ausgeführt werden, wodurch beliebige registrierte Shortcodes ausgeführt werden können. Die CNA stuft die Auswirkungen auf Vertraulichkeit und Integrität als hoch ein (CVSS 8.1). Die Quellen sind sich uneinig, ob ein nicht authentifizierter Angreifer ausnutzen kann oder ob ein Konto mit geringen Rechten erforderlich ist.

Betroffen

• Plugin User Registration & Membership für WordPress, Versionen bis einschliesslich 5.2.8
• Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)
• Ausnutzbar nur auf eingeschränkten Seiten, deren Content-Restriction-Meldung {{referrer_url}} verwendet

Behoben in

Unbekannt. VulDB empfiehlt ein Update auf Version 5.2.9 oder neuer; dies konnte nicht gegen eine Herstellerquelle verifiziert werden. Ein WordPress-Trunk-Changeset (3741339) ändert die betroffene Datei.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Content-Restriction-Meldungen prüfen und {{referrer_url}} entfernen, wo es nicht benötigt wird.
• Nicht benötigte Shortcodes von Drittanbieter-Plugins deaktivieren.
• Offene Benutzerregistrierung deaktivieren, falls sie nicht benötigt wird.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Zum Zeitpunkt der Recherche nicht im CISA KEV gelistet.
• Kein öffentlicher Proof of Concept und kein Ausnutzungsbericht gefunden; dies beweist nicht, dass keiner existiert.
• EPSS-Wert: unbekannt.

Unsere Empfehlung

• Installierte Plugin-Version jetzt prüfen und auf die neueste Version aktualisieren; sicherstellen, dass der Fix aus Changeset 3741339 enthalten ist.
• Bis zur Behebung {{referrer_url}} aus Content-Restriction-Meldungen entfernen, wo nicht nötig.
• Falls offene Registrierung nicht benötigt wird, diese deaktivieren.
• Auf Ausnutzung überwachen und den CISA KEV prüfen.
• Priorität: hoch für Seiten mit offener Registrierung; mittel für Seiten mit geschlossener Registrierung und ohne nicht vertrauenswürdige Konten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• Vulnerable source: class-ur-smart-tags.php (5.2.8) plugins.trac.wordpress.org
• Trunk changeset 3741339 plugins.trac.wordpress.org
• VulDB CVE-2026-92798 vuldb.com
• Vulners CVE record vulners.com
• WordPress.org plugin page wordpress.org
• Positive Technologies PT-2026-116363 vulners.com
• EPSS/KEV tracker entry (third party) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:50.