CVE-2026-1492: falla critica in User Registration & Membership, 60.000 siti WordPress a rischio

Chi gestisce siti WordPress con moduli di iscrizione a pagamento o aree riservate dovrebbe controllare subito la versione del plugin User Registration & Membership. L'advisory di sicurezza, pubblicato da Patchstack il 3 marzo 2026, descrive una falla critica che permette la creazione di un account amministratore senza alcuna autenticazione.

Il bug: CVE-2026-1492

Il problema è classificato come CWE-269 (gestione impropria dei privilegi) e ha ricevuto un punteggio CVSS 9.8. La vulnerabilità esiste in tutte le versioni fino alla 5.1.2 inclusa, e permette ad attaccanti non autenticati di creare account amministratore sfruttando una validazione impropria del ruolo durante il processo di registrazione alla membership.

Nel dettaglio, il problema nasce dall'incapacità del plugin di validare e limitare correttamente i valori di ruolo forniti dall'utente durante il flusso di registrazione alla membership: quando un utente si registra, il plugin accetta i parametri di ruolo dalla richiesta lato client senza imporre una lista di ruoli consentiti lato server. In pratica, il plugin accetta un ruolo fornito dall'utente durante la registrazione alla membership senza applicare correttamente una lista di ruoli ammessi lato server, rendendo possibile per attaccanti non autenticati la creazione di account amministratore.

Una proof-of-concept pubblicata su GitHub descrive la catena d'attacco: un attaccante remoto completamente non autenticato può costruire una richiesta AJAX multi-step — prima registrando un nuovo account utente, poi inviando una chiamata register_member malevola con "role": "administrator" iniettato nel payload JSON members_data per creare un account amministratore a piena insaputa del gestore del sito.

Non è la prima volta che questo meccanismo viene colpito: una vulnerabilità precedente sullo stesso plugin, CVE-2025-2563, interessava le versioni fino alla 4.1.1 ed era dovuta a restrizioni insufficienti sul tipo di ruolo nella funzione 'prepare_members_data()', che rendeva possibile per attaccanti non autenticati creare account con il ruolo 'administrator', ottenendo il controllo completo del sito WordPress interessato. Da notare anche che un caso apparentemente simile, segnalato mesi dopo sulla versione 5.2.2 (CVE-2026-11961), è stato respinto dal team Wordfence perché la registrazione come amministratore era possibile solo se l'amministratore del sito aveva esplicitamente creato un ruolo membership con permessi admin: un caso di configurazione, non di bug.

Siti coinvolti e correzione

Il plugin, sviluppato da WPEverest, risulta installato su oltre 60.000 siti WordPress secondo le stime riportate dagli advisory di settore. La falla è stata presente in tutte le versioni fino alla 5.1.2, e risolta nella versione 5.1.3.

Come aggiornare

Per chi gestisce il sito direttamente:

1. Accedere al pannello di amministrazione WordPress.
2. Andare su Plugin > Plugin installati.
3. Individuare "User Registration & Membership" e, se compare l'avviso di aggiornamento, cliccare su Aggiorna ora.
4. Verificare dopo l'aggiornamento che la versione installata sia la 5.1.3 o successiva, controllando la colonna versione nella stessa schermata.

Chi gestisce più installazioni via WP-CLI può lanciare wp plugin update user-registration su ogni sito, oppure verificare prima la versione con wp plugin get user-registration --field=version. Per chi opera su hosting condiviso senza accesso SSH, l'aggiornamento dal pannello resta l'unica via; in assenza di aggiornamenti automatici attivi, conviene controllare manualmente la bacheca di ogni sito che utilizza moduli di registrazione o membership.