Résumé
Le 5 mars 2025, une faille critique a été découverte dans le plugin Ultimate Member pour WordPress. Cette vulnérabilité (notée CVE-2025-1702) permet à des attaquants non authentifiés d’injecter des commandes SQL dans les requêtes de recherche, volant ainsi des données sensibles (comme les informations personnelles des utilisateurs ou des informations administratives). Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées.
Solutions
Le fournisseur du plugin a déjà publié une mise à jour corrigée (version 2.10.1 ou supérieure). Il est urgent de l’appliquer pour sécuriser son site WordPress et éviter les risques liés à cette faille.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 7.5/10
EPSS : 0.72%
Référencée comme KEV : Oui
Code d exploitation disponible : Non
Date d’ajout au KEV : 15/10/2026
Systèmes affectés
Le plugin versions inférieures ou égales à 2.10.0 sont concernées.
Documentation
• NIST NVD