CVE-2026-18547
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Member dla WordPress do wersji 2.12.1 jest podatna na przechowywane Cross-Site Scripting (XSS) przez pole profilu Textarea z obsługą HTML (DOM Gadget przez atrybut id). Brak odpowiedniej sanityzacji wejścia i escapowania wyjścia pozwala uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi na wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący może wykraść dane sesji, przejąć konta użytkowników lub przeprowadzić inne złośliwe działania w kontekście przeglądarki ofiary. Podatność może być wykorzystana do ataków na administratorów i innych użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Ultimate Member do wersji nowszej niż 2.12.1, która zawiera poprawki sanityzacji i escapowania.
Inne podatności w Ultimate Member
Zobacz wszystkie- CVE-2026-12251Wysokie
Wtyczka Ultimate Member dla WordPressa przed wersją 2.12.1 nie filtruje uprawnień na poziomie administratora z ról, które udostępnia do wyboru w formularzach rejestracyjnych. Ponadto zabezpieczenie po rejestracji przed kontami z podwyższonymi uprawnieniami jest domyślnie wyłączone. Pozwala to nieuwierzytelnionym użytkownikom na rejestrację z rolą zdefiniowaną w witrynie, która ma uprawnienia administratora, i uzyskanie dostępu administracyjnego, jeśli taka rola istnieje i pole wyboru roli jest obecne w opublikowanym formularzu rejestracyjnym.
- CVE-2026-15290Wysokie
Wtyczka Ultimate Member dla WordPressa jest podatna na ślepą iniekcję SQL przez parametr wyszukiwania we wszystkich wersjach do 2.10.1 włącznie. Problem wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL, co pozwala nieuwierzytelnionym atakującym na dołączanie dodatkowych zapytań SQL i wyodrębnianie wrażliwych danych z bazy.
- CVE-2026-11766Wysokie
Wtyczka Ultimate Member dla WordPressa przed wersją 2.12.0 nieprawidłowo oczyszcza i koduje wartości niestandardowych pól profilu typu textarea przed wyświetleniem ich na profilach użytkowników. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie Subskrybenta i wyższym przechowywanie kodu JavaScript, który wykonuje się podczas przeglądania profilu przez dowolnego użytkownika, w tym administratora.
- CVE-2026-8489Średnie
Wtyczka Ultimate Member dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'about_me' w wersjach do 2.11.4 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2025-15064Średnie
Wtyczka Ultimate Member dla WordPressa do wersji 2.11.1 jest podatna na przechowywane cross-site scripting (XSS) przez pole opisu użytkownika. Podatność wynika z niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wstrzyknąć dowolne skrypty, które wykonają się przy każdej wizycie na stronie. Podatność jest możliwa do wykorzystania tylko gdy włączona jest opcja "HTML support for user description" w ustawieniach Ultimate Member.
Oryginalny opis (angielski, źródło NVD)
The Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Textarea Profile Field with HTML Support (DOM Gadget via id Attribute) in all versions up to, and including, 2.12.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is possible because the wp_kses 'templates' allowlist permits the id attribute on div elements but does not neutralize unescaped quotes within its value; when pickadate.js concatenates the stored id value into an HTML string via jQuery .html() on profile page load, the smuggled onfocus and autofocus attribute syntax breaks out of attribute context and executes as JavaScript.