CVE-2025-14081
Açıklama
WordPress için geliştirilen Ultimate Member eklentisinin 2.11.0 dahil önceki tüm sürümleri Profil Gizlilik Ayarı Atlatma zafiyetine sahiptir. Bu durum, render işlemi sırasında `required_perm` kontrolü uygulanmadan önce alan anahtarlarının izin verilen alanlar listesinde saklandığı güvenli alan mekanizmasındaki bir hatadan kaynaklanmaktadır. Bu durum, Abone düzeyinde erişime sahip kimliği doğrulanmış saldırganların, yönetici tarafından rolleri için bu seçenek açıkça devre dışı bırakılmış olsa bile, doğrudan parametre manipülasyonu yoluyla profil gizlilik ayarlarını (örneğin profili "Sadece ben" olarak ayarlama) değiştirmelerini mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ultimatemember Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin | v ≤ 2.11.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.