CVE-2023-3460
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Member dla WordPressa przed wersją 2.6.7 nie zapobiega tworzeniu kont użytkowników z dowolnymi uprawnieniami, co umożliwia atakującym tworzenie kont administratorów według własnego uznania.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia nieautoryzowanym użytkownikom uzyskanie pełnych uprawnień administracyjnych.
Rekomendacja
Zaleca się aktualizację wtyczki Ultimate Member do wersji 2.6.7 lub nowszej, aby zlikwidować tę podatność.
Inne podatności w Ultimate Member WordPress plugin
Zobacz wszystkie- CVE-2026-19423Wysokie
Wtyczka WordPress Ultimate Member przed wersją 2.13.0 nie waliduje wybranej roli, gdy nie może rozwiązać zestawu ról dozwolonych przez formularz profilu, i porównuje wartość z nazwami ról zarejestrowanych w witrynie, a nie z listą dozwoloną przez formularz. Pozwala to nieuwierzytelnionym użytkownikom rejestrującym się przez formularz wtyczki na nadanie sobie dowolnych uprawnień i osiągnięcie dostępu równoważnego administratorowi.
- CVE-2025-13220Średnie
Wtyczka Ultimate Member dla WordPressa w wersjach do 2.11.0 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez atrybuty shortcode'ów. Niedostateczna sanityzacja danych wejściowych i ucieczka danych wyjściowych pozwalają uwierzytelnionym użytkownikom z rolą Contributor lub wyższą wstrzykiwać dowolne skrypty do stron.
Oryginalny opis (angielski, źródło NVD)
The Ultimate Member WordPress plugin before 2.6.7 does not prevent visitors from creating user accounts with arbitrary capabilities, effectively allowing attackers to create administrator accounts at will. This is actively being exploited in the wild.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS