今天宣布，“严重和严重的漏洞”影响了一个名为 Ultimate Member 的 WordPress 社区建设插件。 这个漏洞很容易被利用，并为攻击者提供管理员级别的访问权限，这意味着他们可以对站点做任何他们想做的事情。
这就是 Wordfence 描述此漏洞的严重性的方式：
“这个漏洞被认为是非常严重的，因为它使最初未经身份验证的用户可以轻松地将他们的权限提升到管理员的权限。 一旦攻击者拥有对 WordPress 站点的管理访问权限，他们就有效地接管了整个站点并可以执行任何操作，从使站点脱机到进一步用恶意软件感染站点。”
终极会员 WordPress 插件
Ultimate Member WordPress 插件是一种社区建设插件，它允许 WordPress 发布者允许读者成为可以接收各种访问级别以及在社交上相互交互的成员。
它是一种解决方案，还可用于将内容的访问权限限制为仅限注册用户，并授予各种级别的成员权限，例如发布到网站。
终极会员漏洞
插件中有三个可利用的向量，这三个都是特权升级漏洞。 权限提升漏洞是攻击者可以增加他们的用户权限。
例如，如果某人在网站上注册为订阅者，他们可以执行诸如阅读文章和评论之类的操作。
但是通过利用，他们可以将他们的站点权限从订阅者提升到管理员级别，从而赋予自己对站点做任何他们想做的事情的能力。
经过身份验证的特权升级漏洞是当某人需要某种身份验证时，例如订阅者角色。
使用未经身份验证的特权升级漏洞，一个人甚至不必是注册用户。
影响 Ultimate Member 插件的漏洞利用涉及两个未经身份验证的漏洞利用和一个经过身份验证的漏洞利用。
Authenticated Privilege Escalation 漏洞允许注册用户升级他们的权限。
未经身份验证的特权升级漏洞允许攻击者使用注册表作为攻击媒介。
这些漏洞利用非常严重，被评为严重和严重。
下面是 WordFence 的描述方式：
“……这个漏洞被认为是至关重要的，因为它允许最初未经身份验证的用户在某些条件下提升他们的权限。 一旦攻击者提升了对 WordPress 网站的访问权限，他们就有可能接管整个网站并进一步用恶意软件感染该网站。”
立即更新
建议用户立即更新至 Ultimate Member WordPress 插件版本 2.1.12。 该版本包含修复漏洞的补丁。
