Platform
wordpress
Component
tiare-membership
Opgelost in
1.2.1
CVE-2025-13540 beschrijft een kritieke Privilege Escalation kwetsbaarheid in de Tiare Membership plugin voor WordPress. Deze kwetsbaarheid stelt ongeauthenticeerde aanvallers in staat om administrator rechten te verkrijgen. De kwetsbaarheid treft versies 1.0.0 tot en met 1.2 van de plugin. Een update naar versie 1.3 lost dit probleem op.
Deze Privilege Escalation kwetsbaarheid is bijzonder ernstig omdat ongeauthenticeerde aanvallers direct administrator toegang tot een WordPress website kunnen verkrijgen. Dit betekent dat de aanvaller volledige controle over de website kan overnemen, inclusief het wijzigen van content, het installeren van malware, het stelen van gevoelige data (zoals gebruikersnamen, wachtwoorden en creditcardgegevens), en het gebruiken van de website voor kwaadaardige doeleinden. De impact is vergelijkbaar met een volledige website compromise. De kwetsbaarheid is eenvoudig te exploiteren, wat het risico verder vergroot.
Deze kwetsbaarheid is openbaar bekend en heeft een hoge EPSS score, wat wijst op een aanzienlijke kans op exploitatie. Er zijn momenteel geen bekende actieve campagnes, maar de eenvoud van de exploitatie maakt het waarschijnlijk dat deze in de toekomst zal worden gebruikt. De kwetsbaarheid is gepubliceerd op 2025-11-27.
WordPress websites utilizing the Tiare Membership plugin, particularly those with limited security hardening or those running older, unpatched versions of the plugin, are at significant risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.
• wordpress / plugin: Use wp-cli to check the plugin version:
wp plugin list | grep tiare-membership• wordpress / plugin: Search plugin files for the vulnerable function tiaremembershipinitrestapi_register using grep:
grep -r 'tiare_membership_init_rest_api_register' /path/to/wp-content/plugins/tiare-membership/• wordpress / logs: Monitor WordPress access logs for POST requests to /wp-json/tiare-membership/v1/register with suspicious parameters, particularly those attempting to set the role to 'administrator'.
• generic web: Check for unusual user registration patterns via curl:
curl -X POST -d 'username=test&[email protected]&role=administrator' http://your-wordpress-site.com/wp-json/tiare-membership/v1/registerdisclosure
patch
Exploit Status
EPSS
0.15% (35% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het updaten van de Tiare Membership plugin naar versie 1.3 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de roltoewijzing tijdens registratie via een WordPress filter. Controleer ook de WordPress logs op verdachte registratie pogingen. Na de upgrade, controleer de gebruikersaccounts om te bevestigen dat er geen ongeautoriseerde administrator accounts zijn aangemaakt.
Update naar versie 1.3, of een nieuwere gepatchte versie
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-13540 is a critical vulnerability in the Tiare Membership WordPress plugin allowing unauthenticated attackers to gain administrator access by exploiting a flaw in user registration.
If you are using Tiare Membership plugin versions 1.0.0 through 1.2, you are vulnerable. Upgrade to version 1.3 or later to mitigate the risk.
The recommended fix is to upgrade the Tiare Membership plugin to version 1.3 or later. If immediate upgrade is not possible, restrict user registration to trusted administrators.
While no public exploits are currently known, the vulnerability's ease of exploitation suggests a potential for active exploitation. Monitor your systems closely.
Refer to the official Tiare Membership plugin documentation and WordPress plugin repository for the latest advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.