CVE-2026-96270

Nome do Software Vulnerável e Versões Afetadas Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin versões anteriores a 2.13.2

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro form id. O payload malicioso é armazenado no usermeta submitted do usuário que se registra por meio da função update user meta(). O script é executado quando um administrador visualiza o registro do usuário afetado no modal de Usuários do wp-admin, que insere a saída não escapada usando o método .html() do jQuery.

Recomendações Atualize o plugin para a versão 2.13.2 ou posterior.