Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
Опубликована

CVE-2024-10508

RegistrationMagic – User Registration Plugin with Custom Registration Forms <= 6.0.2.6 - Unauthenticated Privilege Escalation via Password Recovery

Публикация: 09.11.2024·Обновлена: 08.04.2026, 20:20·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

The RegistrationMagic – User Registration Plugin with Custom Registration Forms plugin for WordPress is vulnerable to privilege escalation via account takeover in all versions up to, and including, 6.0.2.6. This is due to the plugin not properly validating the password reset token prior to updating a user's password. This makes it possible for unauthenticated attackers to reset the password of arbitrary users, including administrators, and gain access to these accounts.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

metagauss / RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login 

{
  "status": "affected",
  "version": "0",
  "versionType": "semver",
  "lessThanOrEqual": "6.0.2.6"
}

metagauss / registrationmagic 

{
  "status": "affected",
  "version": "0",
  "versionType": "semver",
  "lessThanOrEqual": "6.0.2.6"
}
cpe:2.3:a:metagauss:registrationmagic:*:*:*:*:*:wordpress:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve9.8
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое

Классы CWE

CWE-230 · Неправильное обращение с недостающими ценностями

Источники и ссылки

Материал · www.wordfence.com · cveМатериал · plugins.trac.wordpress.org · cveМатериал · plugins.trac.wordpress.org · cveМатериал · plugins.trac.wordpress.org · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:06:56.670145+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T22:15:38.017710+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T22:15:38.017710+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T22:15:38.017710+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:06:56.670145+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T22:15:38.017710+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены05.11.2026, 00:06
  2. Данные обновлены04.11.2026, 00:06
  3. Данные обновлены03.11.2026, 00:06
  4. Данные обновлены02.11.2026, 00:05
  5. Данные обновлены31.10.2026, 11:52
  6. Данные обновлены30.10.2026, 12:24
  7. Данные обновлены29.10.2026, 09:56
  8. Опубликована29.10.2026, 01:15

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-12158
RegistrationMagic <= 6.0.9.1 - Cross-Site Request Forgery to Privilege Escalation via 'rmc_assign_user_role_action' Parameter
metagauss / RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login
Высокий8.8
0,32 %
01.07.2026
CVE-2026-9242
RegistrationMagic <= 6.0.8.6 - Authenticated (Subscriber+) Authentication Bypass via Forged PayPal IPN Request
metagauss / RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login
Средний5.3
0,34 %
27.06.2026
CVE-2026-1054
RegistrationMagic <= 6.0.7.4 - Missing Authorization to Unauthenticated Arbitrary Settings Modification
metagauss / RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login
Средний5.3
0,27 %
28.01.2026
CVE-2025-2836
RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login <= 6.0.4.3 - Authenticated (Subscriber+) Stored Cross-Site Scripting
metagauss / RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login
Средний6.4
0,33 %
04.04.2025
CVE-2024-1991
RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login <= 5.3.0.0 - Authenticated (Subscriber+) Privilege Escalation
metagauss / RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login · metagauss / registrationmagic
Высокий8.8
0,89 %
09.04.2024
CVE-2024-10508: RegistrationMagic – User Registration Plugin with Custom Registration Forms <= 6.0.2.6 - Unauthenticated Privilege Escalation via Password Recovery · CVE Радар