CVE-2026-11766

Wtyczka Ultimate Member do WordPressa jest podatna na SQL Injection (Blind SQL Injection) z powodu niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Podatność dotyczy wersji od początku istnienia do 2.13.1 włącznie.

Podatność deserializacji niezaufanych danych w wtyczce WordPress Ultimate Member umożliwia wstrzyknięcie obiektu (Object Injection). Problem dotyczy wersji do 2.13.1 włącznie.

Wtyczka Ultimate Member dla WordPressa w wersjach do 2.13.1 włącznie zawiera podatność Incorrect Privilege Assignment, która umożliwia eskalację uprawnień. Problem dotyczy wszystkich wersji od n/a do 2.13.1.

Podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika w Ultimate Member do wersji 2.13.1. Umożliwia eskalację uprawnień.

Wtyczka Ultimate Member dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'form_id' w wersjach do 2.13.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Niezautentykowani atakujący mogą wstrzykiwać skrypty, które wykonają się, gdy administrator otworzy rekord użytkownika w modalnym oknie wp-admin.

Wtyczka Ultimate Member dla WordPressa jest podatna na obejście autoryzacji w wersjach do 2.13.1 włącznie. Niezautentykowani atakujący mogą przeglądać wartości pól profilu członków z ograniczeniami prywatności, w tym pola tylko dla właściciela, tylko dla członków lub z ograniczeniem roli, poprzez publiczny punkt końcowy wp_ajax_nopriv_um_get_members. Nonce wymagany przez punkt końcowy jest dostępny dla wszystkich odwiedzających.

Wtyczka Ultimate Member dla WordPressa przed wersją 2.13.1 nie escapuje wartości pochodzącej z nazw profili dostarczanych przez użytkownika przed wypisaniem jej w tytule strony i dekoduje encje HTML po tym, jak jej własna sanityzacja już została wykonana, co pozwala nieuwierzytelnionym atakującym, którzy zarejestrują konto, na przechowywanie JavaScriptu, który wykona się, gdy jakikolwiek odwiedzający, w tym administrator, zobaczy ich profil.

Wtyczka Ultimate Member dla WordPressa przed wersją 2.13.0 nie sprawdza, czy komentarz został zatwierdzony, ani czy profil, do którego należy, jest prywatny, zanim zwróci aktywność profilu nieuwierzytelnionym odwiedzającym. Umożliwia to odczyt treści komentarzy oczekujących na moderację.

Wtyczka Ultimate Member dla WordPress do wersji 2.12.1 jest podatna na przechowywane Cross-Site Scripting (XSS) przez pole profilu Textarea z obsługą HTML (DOM Gadget przez atrybut id). Brak odpowiedniej sanityzacji wejścia i escapowania wyjścia pozwala uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi na wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Ultimate Member dla WordPressa przed wersją 2.12.1 nie filtruje uprawnień na poziomie administratora z ról, które udostępnia do wyboru w formularzach rejestracyjnych. Ponadto zabezpieczenie po rejestracji przed kontami z podwyższonymi uprawnieniami jest domyślnie wyłączone. Pozwala to nieuwierzytelnionym użytkownikom na rejestrację z rolą zdefiniowaną w witrynie, która ma uprawnienia administratora, i uzyskanie dostępu administracyjnego, jeśli taka rola istnieje i pole wyboru roli jest obecne w opublikowanym formularzu rejestracyjnym.