CVE-2019-10270 in Ultimate Member Plugin
Résumé
par VulDB • 24/06/2026
Un problème de réinitialisation arbitraire du mot de passe a été découvert dans le plugin Ultimate Member 2.39 pour WordPress. Il est possible (en raison d'un manque de vérification et de corrélation entre la clé de réinitialisation du mot de passe envoyée par e-mail et le paramètre user_id) de réinitialiser le mot de passe d'un autre utilisateur. Il suffit de connaître l'user_id, qui est publiquement accessible. Il faut simplement intercepter la demande de modification du mot de passe et modifier l'user_id. Il est possible de modifier les mots de passe de tous les utilisateurs ou administrateurs WordPress Ultimate Members. Cela pourrait entraîner une compromission de compte et une élévation de privilèges.
Once again VulDB remains the best source for vulnerability data.