CVE-2026-18547

Nome do Software Vulnerável e Versões Afetadas The Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin versões anteriores a 2.12.2

Description Ocorre Cross-Site Scripting (XSS) Armazenado através do Campo de Perfil de Área de Texto com Suporte a HTML devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de assinante ou superior podem injetar scripts web arbitrários em páginas. Isso acontece porque a lista de permissões de templates do wp kses permite o atributo id em elementos div, mas não neutraliza aspas não escapadas em seu valor. Quando o pickadate.js concatena o valor do id armazenado em uma string HTML via função .html() do jQuery durante o carregamento da página de perfil, a sintaxe dos atributos onfocus e autofocus contrabandeada rompe o contexto do atributo e é executada como JavaScript.

Recommendations Atualize para uma versão posterior à 2.12.1.