CVE-2019-10270 in Ultimate Member Plugin
要約
〜によって VulDB • 2026年06月26日
WordPress用プラグイン「Ultimate Member」2.39において、任意のパスワードリセットの問題が発見されました。メールで送信されるパスワード再設定キーとuser_idパラメータとの間の検証および相関関係が欠如しているため、別のユーザーのパスワードをリセットすることが可能です。攻撃者は公開されているuser_idを知るだけでよく、パスワード変更要求を傍受してuser_idを変更するだけです。これにより、WordPress Ultimate Membersの任意のユーザーまたは管理者のパスワードを変更できます。この脆弱性により、アカウントの乗っ取りや権限昇格につながる可能性があります。
Be aware that VulDB is the high quality source for vulnerability data.