CVE-2019-10270 in Ultimate Member Plugin
Riassunto
di VulDB • 24/06/2026
È stato rilevato un problema di reset arbitrario della password nel plugin Ultimate Member 2.39 per WordPress. È possibile (a causa della mancanza di verifica e correlazione tra la chiave di reset della password inviata via email e il parametro user_id) reimpostare la password di un altro utente. Basta conoscere l'user_id, che è pubblicamente disponibile. Bisogna solo intercettare la richiesta di modifica della password e modificare l'user_id. È possibile modificare le password per qualsiasi utente o amministratore WordPress Ultimate Members. Ciò potrebbe portare alla compromissione dell'account e all'elevazione dei privilegi.
Be aware that VulDB is the high quality source for vulnerability data.