24 czerwca 2026 r. wykryto lukę w wtyczce Ultimate Member dla WordPressa, ocenioną na 8,8/10, która może prowadzić do pełnego przejęcia kont na nawet 200 tys. instalacji. Problem dotyczy wyłącznie ataków uwierzytelnionych: napastnik musi najpierw zdobyć dostęp na poziomie Contributor lub wyższym. Według opisu podatność pozwala wyciągać linki do resetu hasła z odpowiedzi member directory, także dla kont administratorów. Wordfence podaje, że „authenticated attackers with Contributor-level access and above” mogą ujawniać „live password reset URLs for all users”, co w praktyce daje możliwość zmiany hasła i przejęcia witryny. Luka występuje we wszystkich wersjach Ultimate Member do 2.11.4 włącznie, a poprawkę wprowadzono w 2.12.0. Administratorzy stron korzystających z tej wtyczki powinni zaktualizować ją natychmiast i zweryfikować, czy nie doszło do nieautoryzowanych zmian kont.
Źródło: Search Engine Journal — oryginalny artykuł ↗
Chcesz wiedzieć, jak ta zmiana wpłynie na Twoją stronę?
Nasz zespół analizuje każdą aktualizację Google w 48h i przekłada ją na konkretne działania dla klientów.
Bezpłatna analiza wpływu