CVE-2026-116621 Cross-site scripting almacenado en Ultimate Member hasta 2.14.1 vía campo Textarea
El parámetro pm_note (o cualquier metakey de Textarea personalizado con HTML deshabilitado) no se sanea ni escapa correctamente. Atacantes autenticados con nivel Subscriber o superior pueden inyectar scripts que se ejecutan cuando un usuario accede a la página, aunque se requiere que una víctima privilegiada haga clic en un enlace del perfil. Afecta a versiones hasta la 2.14.1 inclusive.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 10
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
ultimatemember Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Members
hasta 2.14.1
Qué hacer
- Verificá si usás Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Members y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'pm_note (any custom Textarea metakey with html disabled)' parameter in all versions up to, and including, 2.14.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful exploitation requires a privileged victim to click the attacker-rendered anchor on the target profile page, which triggers the DOM gadget that concatenates the unescaped data-src value into an HTML string passed to jQuery.
Referencias (7)
- www.wordfence.com/threat-intel/vulnerabilities/id/50b7a6e0-3c25-4eda-acbd-43643a291bca?so…
- plugins.trac.wordpress.org/browser/ultimate-member/tags/2.14.0/assets/js/um-functions.js#…
- plugins.trac.wordpress.org/browser/ultimate-member/tags/2.14.0/assets/js/um-profile.js#L32
- plugins.trac.wordpress.org/browser/ultimate-member/tags/2.14.0/includes/core/class-fields…
- plugins.trac.wordpress.org/browser/ultimate-member/tags/2.14.0/includes/core/um-filters-f…
- plugins.trac.wordpress.org/browser/ultimate-member/tags/2.14.0/includes/core/class-form.p…
- github.com/ultimatemember/ultimatemember/releases/tag/2.14.2
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.