CVE-2025-13220
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Member dla WordPressa w wersjach do 2.11.0 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez atrybuty shortcode'ów. Niedostateczna sanityzacja danych wejściowych i ucieczka danych wyjściowych pozwalają uwierzytelnionym użytkownikom z rolą Contributor lub wyższą wstrzykiwać dowolne skrypty do stron.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami Contributor może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników, w tym administratorów, co może prowadzić do przejęcia sesji lub konta.
Rekomendacja
Zaktualizuj wtyczkę Ultimate Member do wersji nowszej niż 2.11.0, która zawiera poprawkę podatności.
Inne podatności w Ultimate Member WordPress plugin
Zobacz wszystkie- CVE-2023-3460Krytyczne
Wtyczka Ultimate Member dla WordPressa przed wersją 2.6.7 nie zapobiega tworzeniu kont użytkowników z dowolnymi uprawnieniami, co umożliwia atakującym tworzenie kont administratorów według własnego uznania.
- CVE-2026-19423Wysokie
Wtyczka WordPress Ultimate Member przed wersją 2.13.0 nie waliduje wybranej roli, gdy nie może rozwiązać zestawu ról dozwolonych przez formularz profilu, i porównuje wartość z nazwami ról zarejestrowanych w witrynie, a nie z listą dozwoloną przez formularz. Pozwala to nieuwierzytelnionym użytkownikom rejestrującym się przez formularz wtyczki na nadanie sobie dowolnych uprawnień i osiągnięcie dostępu równoważnego administratorowi.
Oryginalny opis (angielski, źródło NVD)
The Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's shortcode attributes in all versions up to, and including, 2.11.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS