CVE-2026-107625

Nome do Software Vulnerável e Versões Afetadas Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin versões anteriores a 2.14.1

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre através do parâmetro user url, permitindo a injeção de scripts web arbitrários em páginas. Esses scripts são executados quando um usuário visita a página afetada, especificamente ao clicar no link de URL do site do atacante em seu perfil público. Isso é facilitado pelo manipulador onclick de confirmação de redirecionamento, que é habilitado por padrão em novas instalações.

Recomendações Atualize para uma versão posterior à 2.14.0. Restrinja o uso do parâmetro user url nos perfis de usuário até que a atualização seja aplicada.