CVE-2026-11766
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Member dla WordPressa przed wersją 2.12.0 nieprawidłowo oczyszcza i koduje wartości niestandardowych pól profilu typu textarea przed wyświetleniem ich na profilach użytkowników. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie Subskrybenta i wyższym przechowywanie kodu JavaScript, który wykonuje się podczas przeglądania profilu przez dowolnego użytkownika, w tym administratora.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który przejmie sesje administratora, wykradnie dane lub dokona nieautoryzowanych działań w kontekście konta administratora, co prowadzi do pełnej kompromitacji witryny WordPress.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Ultimate Member do wersji 2.12.0 lub nowszej. Dodatkowo ogranicz uprawnienia do edycji niestandardowych pól profilu tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Ultimate Member WordPress plugin before 2.12.0 does not properly sanitise and escape the value of custom textarea profile fields before outputting it on user profiles, allowing authenticated users with Subscriber-level access and above to store JavaScript that executes when any user, including an administrator, views the affected profile.