CVE-2026-116621

Nome do Software Vulnerável e Versões Afetadas Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin versões anteriores a 2.14.2

Descrição A sanitização insuficiente de entrada e a falta de escape na saída permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Isso ocorre por meio do parâmetro pm note (ou qualquer metakey de área de texto personalizada com HTML desativado), permitindo a injeção de scripts web arbitrários. A exploração requer que um usuário privilegiado clique em uma âncora renderizada pelo atacante na página de perfil do alvo, o que aciona um gadget de DOM que concatena o valor data-src não escapado em uma string HTML processada pelo jQuery.

Recomendações Atualize o plugin para a versão 2.14.2 ou posterior.