User Registration & Membership: neun Lücken bei über 50.000 WordPress-Websites

Michael Dobler

Autor Dr. Web

19. Okt. 2026

3 Min. Lesezeit

Neun Lücken auf einmal schließt Version 5.3.0 des WordPress-Plugins User Registration & Membership, vier davon lassen sich ohne Anmeldung ausnutzen. Wordfence hat die Fehler zwischen dem 13. und 16. Oktober veröffentlicht, der schwerste erreicht 8,1 von 10 Punkten. Am 19. Oktober liefen laut wordpress.org noch rund 40 Prozent der mehr als 50.000 Installationen auf anfälligen Versionszweigen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Das Plugin des Herstellers WPEverest regelt in Mitgliederbereichen die Registrierung und den Zugang zu geschützten Inhalten. Für den Zweig 5.2 hat WPEverest kein eigenes Sicherheitsupdate veröffentlicht: Die Korrekturen stecken in einem Funktionsupdate mit 76 Einträgen der Rubrik „Fix“ im Änderungsprotokoll.^[1]

Das Wichtigste in Kürze

User Registration & Membership bis 5.2.8 enthält neun Lücken, Version 5.3.0 vom 12. Oktober schließt alle.
Die schwerste lässt Angreifer beliebige Shortcodes der Website ausführen (CVE-2026-92798, CVSS 3.1: 8,1, vergeben von Wordfence).
Ohne Anmeldung schleusen Fremde über das Registrierungsformular Skripte ein, die beim Aufruf der Seite laufen (Cross-Site-Scripting, CVE-2026-96660, CVSS 3.1: 7,2).
Angriffe sind bis zum 19. Oktober nicht bekannt.

Wie gelangen fremde Shortcodes in den Hinweistext?

Karte mit Pflastern und Schlüsselanhänger mit Aufschrift „Nur für Mitglieder“ auf weißem Grund — Plugin-Sicherheitslücke: Fehlende Bereinigung von Platzhaltern ermöglichte Injection von Shortcodes bis Version 5.2.8

In Hinweistexten des Plugins setzen Betreiber Platzhalter ein, etwa für den Namen des Mitglieds. Bis Version 5.2.8 übernahm das Plugin dafür Werte aus Profilen und aus Angaben, die der Browser mitschickt, entfernte aber keine eckigen Klammern. Den fertigen Text verarbeitete WordPress danach als Shortcode, also als Befehl an ein Plugin. Je nach installierten Erweiterungen kann ein Angreifer so Inhalte anzeigen oder Funktionen ausführen lassen, die ihm sonst verschlossen bleiben.^[2]

Bei der schwersten Lücke bleibt die Angriffsvoraussetzung unklar. Wordfence führt die Lücke als Angriff mit Abonnentenkonto, die Beschreibung im selben Eintrag spricht von Angreifern ohne Anmeldung.^[3] Ausnutzen lässt sich der Fehler nur auf geschützten Seiten, deren Hinweistext den betroffenen Platzhalter enthält. Laut Quellcode-Vergleich der Redaktion entfernt Version 5.3.0 Shortcodes aus allen Platzhaltern mit Nutzerangaben.^[1]

Wie viele Websites sind betroffen?

Am 19. Oktober liefen laut der Versionsstatistik von wordpress.org 40,1 Prozent der Installationen auf den Zweigen 5.2, 5.1 und 4.4, die Wordfence als anfällig führt. Bei 50.000 Installationen entspricht das rechnerisch rund 20.000 Websites. Für weitere 29,4 Prozent nennt die Statistik keinen Versionszweig.^[1]

Seit dem 11. September hat Wordfence 15 Lücken im Plugin veröffentlicht, darunter zwei Rechteausweitungen.^[4] Beim Konkurrenten Ultimate Member schloss Ende September ebenfalls ein einziges Update sechs Lücken auf einmal. Shortcodes ohne Anmeldung ließen zuletzt auch Forminator und Ocean Extra ausführen.

User Registration & Membership im Steckbrief

Reichweite, Schweregrad und Update-Stand, Stand 19. Oktober 2026

50.000+

aktive Installationen laut wordpress.org

Lücken bis Version 5.2.8, vier davon ohne Anmeldung ausnutzbar

8,1

Punkte nach CVSS 3.1 für die schwerste Lücke, vergeben von Wordfence

40,1 %

der Installationen liefen am 19. Oktober auf den Zweigen 5.2, 5.1 und 4.4

Vom letzten Update auf Zweig 5.2 bis heute

10. September

Version 5.2.8

Letzte Version des Zweigs 5.2, alle neun Lücken stecken noch darin

12. Oktober

Version 5.3.0

Funktionsupdate mit 76 Korrekturen schließt alle neun Lücken

13. bis 16. Oktober

Wordfence

Veröffentlichung der neun Einträge, zuletzt die Shortcode-Lücke mit 8,1 Punkten

17. Oktober

Version 5.3.1

Wartungsupdate, am selben Tag übernimmt die US-Schwachstellendatenbank NVD die Einträge

19. Oktober

Status

Patch verfügbar, keine Angriffe bekannt, kein Eintrag im CISA-Katalog

Steckt die Sicherheitskorrektur in einem großen Funktionsupdate, bleibt jede aufgeschobene Aktualisierung eine offene Tür.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie das Plugin auf 5.3.0 oder das Wartungsupdate 5.3.1 vom 17. Oktober. Eine Sicherung vorab, etwa mit einem der verglichenen Backup-Plugins, erleichtert das Zurücksetzen.
Automatik prüfen: Schalten Sie automatische Plugin-Updates ein, falls Sie bisher nur Wartungsupdates zulassen.
Übergangsweise abschalten: Lässt sich das Update nicht sofort einspielen, entfernen Sie Platzhalter aus den Hinweistexten geschützter Seiten oder deaktivieren Sie das Plugin.
Spuren suchen: Prüfen Sie neue Registrierungen und Profilfelder auf eingeschleusten Code und die Liste der Administratoren auf unbekannte Konten.
Melden: Sind Daten von Mitgliedern an Fremde gelangt, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt.^[5]

Agenturen mit vielen Kunden-Websites ziehen Installationen auf dem Zweig 5.2 zuerst nach. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein.

FAQ: User Registration & Membership: neun Lücken bei über 50.000 WordPress-Websites

Was ist User Registration & Membership?

User Registration & Membership ist ein WordPress-Plugin des Herstellers WPEverest. Betreiber bauen damit Registrierungsformulare und sperren Inhalte für Nichtmitglieder. Laut wordpress.org läuft es auf mehr als 50.000 Websites.

Welche Version von User Registration & Membership ist sicher?

Sicher ist Version 5.3.0 vom 12. Oktober 2026 oder neuer, aktuell ist 5.3.1. Alle Versionen bis einschließlich 5.2.8 enthalten laut Wordfence neun Lücken. Für den Zweig 5.2 hat WPEverest kein eigenes Sicherheitsupdate veröffentlicht.

Was ist eine Shortcode-Lücke?

Shortcodes sind Befehle in eckigen Klammern, mit denen Plugins Inhalte in WordPress-Seiten einfügen. Bei einer Shortcode-Lücke gelangen solche Befehle aus Nutzereingaben in Text, den WordPress ausführt. Was ein Angreifer damit erreicht, hängt von den Shortcodes der installierten Erweiterungen ab.

Werden die Lücken in User Registration & Membership schon ausgenutzt?

Bis zum 19. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt keine der neun Lücken in ihrem Katalog aktiv ausgenutzter Schwachstellen. Ein Patch liegt seit dem 12. Oktober vor.