CVE-2026-19251— Ultimate Member 2.13.0 未授权评论泄露漏洞
一分钟漏洞结论
影响对象
Unknown Ultimate Member
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
WordPress 插件 The Ultimate Member 在 2.13.0 之前的版本中，在向未认证访客返回个人资料活动信息前，未检查该评论是否已通过审核，也未检查其所属的个人资料是否为私有，导致未认证的访客能够读取仍处于待审核状态的评论内容。
可能的 ATT&CK 技术 1 AI
T1595 · Active Scanning影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Unknown | Ultimate Member | < 2.13.0 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-19251 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Ultimate Member < 2.13.0 - Unauthenticated Unapproved Comment Disclosure via Profile Activity
来源: CVE Program / CVE List V5
Vulnerability Description
The Ultimate Member WordPress plugin before 2.13.0 does not check whether a comment has been approved, or whether the profile it belongs to is private, before returning profile activity to unauthenticated visitors, allowing them to read the content of comments still awaiting moderation.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | Ultimate Member | 0 ~ 2.13.0 | - |
|
二、漏洞 CVE-2026-19251 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-19251 的情报信息
请登录查看更多情报信息。
CVE-2026-19251 安全博客文章 (1)
-
🔗 Ultimate Member < 2.13.0 – Unauthenticated Unapproved Comment Disclosure via Profile Activity | CVE 2026-19251 | Plugin Vulnerabilities 查看完整文章 exploit vdb-entry technical-description
同批安全公告 · Unknown · 2026-09-02 · 共 66 条
| CVE-2026-4357 | 10.0 CRITICAL | Embed HTML5 Game 1.3 未认证任意文件上传 |
| CVE-2026-77009 | 9.9 CRITICAL | Watchman-Site7 远程代码执行漏洞 |
| CVE-2025-9314 | 9.8 CRITICAL | Developer Tools 1.1.3 未认证任意文件上传漏洞 |
| CVE-2025-15485 | 8.2 HIGH | Auto x LINE 1.0.0 未授权REST API调用 |
| CVE-2026-83547 | 6.8 MEDIUM | Xpro Elementor Addons 存储型跨站脚本漏洞 |
| CVE-2026-82884 | 6.8 MEDIUM | WordPress All in One SEO 存储型XSS漏洞 |
| CVE-2026-10821 | 6.6 MEDIUM | Yoast SEO Premium < 27.6.1 远程代码执行漏洞 |
| CVE-2026-2688 | 6.5 MEDIUM | CM HIPAA Forms 3.2.0 未授权绕过漏洞 |
| CVE-2024-3773 | 5.9 MEDIUM | LiveJournal Shortcode 存储型跨站脚本漏洞 |
| CVE-2026-2811 | 5.4 MEDIUM | Ajaxify Comments 3.2以下 未认证HTTP头注入漏洞 |
| CVE-2026-8151 | 5.4 MEDIUM | MailChimp集成插件 CSRF 致 API Key 更新漏洞 |
| CVE-2025-15481 | 5.3 MEDIUM | WordPress Notification Bar 1.1.8 未认证数据泄露漏洞 |
| CVE-2026-17563 | 5.3 MEDIUM | WP User Frontend 4.3.11 未授权帖子创建漏洞 |
| CVE-2025-8945 | 5.3 MEDIUM | Wp Edit Password Protected 1.3.4 之前版本权限绕过漏洞 |
| CVE-2025-15490 | 5.3 MEDIUM | Passster 4.2.26 之前全局保护绕过漏洞 |
| CVE-2026-77793 | 5.3 MEDIUM | RegistrationMagic 6.0.9.9 前未认证支付绕过漏洞 |
| CVE-2026-77794 | 5.3 MEDIUM | RegistrationMagic 6.0.9.8 未认证支付绕过漏洞 |
| CVE-2025-15489 | 5.3 MEDIUM | Passster 4.2.24 之前 密码保护绕过漏洞 |
| CVE-2026-83533 | 5.3 MEDIUM | WP Express Checkout 2.4.9 未认证支付绕过漏洞 |
| CVE-2026-78153 | 5.3 MEDIUM | REST API 路由规范化导致的内容保护绕过 |
显示前 20 条，共 66 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-19251
暂无评论