CVE-2026-15290
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Member dla WordPressa jest podatna na ślepą iniekcję SQL przez parametr wyszukiwania we wszystkich wersjach do 2.10.1 włącznie. Problem wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL, co pozwala nieuwierzytelnionym atakującym na dołączanie dodatkowych zapytań SQL i wyodrębnianie wrażliwych danych z bazy.
Ocena ryzyka
Atakujący może bez uwierzytelnienia wykraść poufne dane z bazy danych WordPressa, takie jak hasła użytkowników, klucze API czy dane osobowe, co prowadzi do naruszenia bezpieczeństwa i prywatności.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Ultimate Member do wersji 2.10.2 lub nowszej, która zawiera pełną łatkę usuwającą podatność. Jeśli aktualizacja nie jest możliwa, rozważ tymczasowe wyłączenie wtyczki.
Inne podatności w Ultimate Member
Zobacz wszystkie- CVE-2026-18547Średnie
Wtyczka Ultimate Member dla WordPress do wersji 2.12.1 jest podatna na przechowywane Cross-Site Scripting (XSS) przez pole profilu Textarea z obsługą HTML (DOM Gadget przez atrybut id). Brak odpowiedniej sanityzacji wejścia i escapowania wyjścia pozwala uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi na wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-12251Wysokie
Wtyczka Ultimate Member dla WordPressa przed wersją 2.12.1 nie filtruje uprawnień na poziomie administratora z ról, które udostępnia do wyboru w formularzach rejestracyjnych. Ponadto zabezpieczenie po rejestracji przed kontami z podwyższonymi uprawnieniami jest domyślnie wyłączone. Pozwala to nieuwierzytelnionym użytkownikom na rejestrację z rolą zdefiniowaną w witrynie, która ma uprawnienia administratora, i uzyskanie dostępu administracyjnego, jeśli taka rola istnieje i pole wyboru roli jest obecne w opublikowanym formularzu rejestracyjnym.
- CVE-2026-11766Wysokie
Wtyczka Ultimate Member dla WordPressa przed wersją 2.12.0 nieprawidłowo oczyszcza i koduje wartości niestandardowych pól profilu typu textarea przed wyświetleniem ich na profilach użytkowników. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie Subskrybenta i wyższym przechowywanie kodu JavaScript, który wykonuje się podczas przeglądania profilu przez dowolnego użytkownika, w tym administratora.
- CVE-2026-8489Średnie
Wtyczka Ultimate Member dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'about_me' w wersjach do 2.11.4 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2025-15064Średnie
Wtyczka Ultimate Member dla WordPressa do wersji 2.11.1 jest podatna na przechowywane cross-site scripting (XSS) przez pole opisu użytkownika. Podatność wynika z niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wstrzyknąć dowolne skrypty, które wykonają się przy każdej wizycie na stronie. Podatność jest możliwa do wykorzystania tylko gdy włączona jest opcja "HTML support for user description" w ustawieniach Ultimate Member.
Oryginalny opis (angielski, źródło NVD)
The Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin plugin for WordPress is vulnerable to blind SQL Injection via the search parameter in all versions up to, and including, 2.10.1 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. This vulnerability was partially patched in version 2.9.2 when initially addressing CVE-2025-0308.