Cercare vulnerabilità in Wordpress Plugin: Ultimate Member CVE-2018-17866
Pubblicato il – 1 minuti di lettura – 195 parole

Prodotto: Ultimate Member - User Profile & Membership Plugin
Versione: 2.0.27 o precedente
Potenziali utenti interessati: 100.000+
CVE : CVE-2018-17866
Ultimate Member
Ultimate Member è uno dei tanti plugin di profilo utente e appartenenza per WordPress. Il plugin rende un gioco da ragazzi per gli utenti nell’iscriversi e nel diventare membri di un sito web.
Il plugin permette di aggiungere profili utente al tuo sito ed è adatto per creare comunità online avanzate e siti di appartenenza. Leggero e altamente estendibile, Ultimate Member permetterà di creare quasi ogni tipo di sito dove gli utenti possono iscriversi e diventare membri con assoluta facilità.
Description
Le vulnerabilità multiple di cross-site scripting (XSS) in includes/core/um-actions-login.php nel plugin “Ultimate Member - User Profile & Membership” attraverso la 2.0.27 per WordPress permettono agli aggressori remoti di iniettare arbitrariamente web script o HTML attraverso il campo “Primary button Text” o “Second button text”.
Tipo di vulnerabilità
- Neutralizzazione impropria dell’input durante la generazione della pagina web (‘Cross-site Scripting’) (CWE-79)
Proof of Concept
Timelapse
- 2018-10-01: Trovato il problema e chiesto un CVE
- 2018-10-02: Contattato il team di supporto di Ultimate Member
- 2018-10-05: Problemi risolti e versione 2.0.28 rilasciata
- 2018-10-06: Articolo rilasciato