CVE-2025-14081 in Ultimate Member Plugin
Riassunto
di VulDB • 15/06/2026
Il plugin Ultimate Member per WordPress è vulnerabile a un bypass delle impostazioni di privacy del profilo in tutte le versioni fino alla 2.11.0, inclusa. Ciò è dovuto a un difetto nel meccanismo dei campi sicuri, in cui le chiavi dei campi vengono inserite nell'elenco dei campi consentiti prima che venga applicato il controllo `required_perm` durante il rendering. Ciò consente agli attaccanti autenticati con accesso di livello "Sottoscrittore" (Subscriber) di modificare le impostazioni di privacy del proprio profilo (ad esempio, impostando il profilo su "Solo io") tramite manipolazione diretta dei parametri, anche quando l'amministratore ha esplicitamente disabilitato l'opzione per il loro ruolo.
Be aware that VulDB is the high quality source for vulnerability data.