Ultimate Member – Plugin de perfil de usuario, rexistro, acceso, directorio de membros, restrición de contido & membresía

Rexistro de cambios

Importante:

IMPORTANTE: ACTUALIZA O PLUGIN POLO MENOS Á VERSIÓN 2.6.7 DE INMEDIATO. A VERSIÓN 2.6.7 CORRIXE UNHA VULNERABILIDADE DE SEGURIDADE DE ESCALADA DE PRIVILEXIOS. CONSULTA ESTE ARTIGO PARA MÁIS INFORMACIÓN

2.14.0 2026-09-29

Melloras

• Engadido: parámetro $form_id aos ganchos de acción um_before_form, um_before_{$mode}_fields, um_main_{$mode}_fields, um_after_form_fields, um_after_{$mode}_fields e um_after_form.
• Engadido: gancho de acción um_before_render_dynamic_modal_content para integracións de terceiros cando se abre a ventá emerxente de administración.
• Engadido: ganchos de filtro um_email_validation_real_error_codes e um_email_validation_error_message para que integracións de terceiros cambien ou fagan visible a mensaxe de erro real da validación dos campos de correo electrónico.
• Engadido: compatibilidade co campo Threads nos formularios de UM e na meta-fila de iconas sociais.

Corrección de erros

• Corrixido: problema de seguridade relacionado cunha vulnerabilidade de inxección de obxectos PHP sen identificación. (Informado por Ananda Dhakal (Patchstack)). Engadiuse a función um_maybe_unserialize().
• Corrixido: problema de seguridade relacionado cunha inxección SQL almacenada de administrador a través dos identificadores dos campos de busca do directorio. (Informado por Ananda Dhakal (Patchstack)). Engadiuse sanitización para os campos de busca no directorio de membros.
• Corrixido: problema de seguridade relacionado cunha vulnerabilidade de aplicación incorrecta do fluxo de traballo sen identificación. (Informado por Ananda Dhakal (Patchstack)). Engadíronse campos e atributos nonce únicos para as solicitudes.
• Corrixido: problema de seguridade CVE-2026-96270. Engadiuse sanitización para o atributo form_id durante o envío dos formularios de Ultimate Member. (Informado por Wordfence).
• Corrixido: problema de seguridade CVE-2026-93428. Corrixiuse a privacidade dos campos ao mostrar os campos do perfil de usuario. (Informado por Wordfence).
• Corrixido: problema de seguridade relacionado coa escalada de privilexios. Corrixíronse o envío da conta de usuario e a seguridade do nonce. Restablécese o usuario se non ten a capacidade de descargar o arquivo. (Informado por Intrudify (Patchstack)).
• Corrixido: validación de is_url() para os campos de ligazóns sociais.
• Corrixido: validación de unique_email. Analiza os campos de correo electrónico principal e secundario para que o correo sexa único entre eles.

Modelos que precisan actualización

• profile/comments.php
• profile/posts.php
• login.php
• members.php
• profile.php
• register.php

Obsoleto

• Obsoleto: funcións UM()->check_ajax_nonce e UM()->admin()->check_ajax_nonce(). Usa no seu lugar as funcións nativas de WordPress wp_verify_nonce(), check_admin_referer() e check_ajax_referer() con valores únicos de campos nonce. Déixanse agora por compatibilidade con versións anteriores.
• Obsoleto: uso dos datos localizados um_admin_scripts.nonce e um_scripts.nonce nos scripts de UM. Déixanse localizados por compatibilidade con versións anteriores.
• Obsoleto: acción común de JS para a clase '.um-ajax-action'. Xa non se usa no núcleo de UM nin nas extensións e pódese eliminar, igual que o manejador AJAX de um_muted_action.
• Obsoleto: gancho de acción um_run_ajax_function__{$hook} usado no manejador um_muted_action.
• Marcado como obsoleto proximamente: atributo in_group para os campos no maquetador de formularios de UM.

Nota: os recursos (JS/CSS) en caché e optimizados/minificados deben baleirarse/rexenerarse tras a actualización

2.13.1 2026-09-15

Melloras

• Engadido: alternativa para a biblioteca wp-cli/wp-config-transformer se o arquivo wp-config.php non é escribible.
• Engadido: 3.º parámetro $is_default do gancho de filtro um_members_directory_filter_text para comprobar se é un filtrado de administración ou unha consulta da portada.
• Engadido: a opción «Bloqueo de capacidades administrativas» está activada por defecto tras a primeira instalación.
• Optimizado: consulta SQL lenta para a comprobación por lotes do estado de conta baleira.
• Optimizado: chamadas SQL redundantes ao editar a páxina de perfil con menús despregables de callback. Almacénanse en caché as comprobacións de existencia de usermeta por usuario e clave durante unha única carga (Informado por @MissVeronica, autor @faisalahammad).

Corrección de erros

• Corrixido: problema de seguridade relacionado con que un visitante sen identificar pode almacenar JavaScript que se executa na sesión dun administrador a través do nome do seu propio perfil. (Informado por Karthik Ramakrishnan e o equipo de WPScan). Corrixiuse a función um_convert_tags() e aplicáronse os escapadores en toda a substitución de marcadores de posición.
• Corrixido: uso da comparación LIKE para os filtros de tipo texto con táboa usermeta personalizada (Informado por @MissVeronica, autor @faisalahammad).
• Corrixido: o axuste de campo «Pode o usuario editar este campo?» só se mostra para os campos do formulario de perfil de usuario.
• Corrixido: obtención da lista de páxinas na sección wp-admin UM > Axustes > Xeral > Páxinas.
• Corrixido: visualización do campo de tipo hora na páxina do perfil de usuario.
• Corrixido: uso de illegal_user_logins para o usuario administrador actual co nome de usuario especificado na lista de accesos de usuario non permitidos.

Obsoleto

• Obsoleto: o gancho de filtro um_members_directory_filter_text_meta_value está totalmente obsoleto; non se precisa substituto para o campo de filtro de tipo texto.

2.13.0 2026-08-24

Melloras

• Engadido: uso do filtro illegal_user_logins para sanitizar o valor do campo user_login durante o rexistro ou a actualización.
• Engadido: uso da biblioteca wp-cli/wp-config-transformer para establecer as constantes dos axustes de claves de API de Ultimate Member > en wp-config.php en vez de almacenalas na base de datos.
• Engadido: novas funcións de capacidades de usuario UM()->common()->users()->can_view_user(), UM()->common()->users()->get_privacy_setting(), UM()->common()->users()->is_user_profile_private(), UM()->common()->users()->get_restricted_privacy_notice(), UM()->common()->users()->can_view_private_user_profile(), UM()->common()->users()->can_view_user_profile(). O futuro substituto do asistente um_can_view_profile() con diferentes casos para comprobar.
• Actualizado: versión das funcións excluídas nativas de WordPress para evitar usalas nos callbacks.

Corrección de erros

• Corrixido: optimización da inicialización de WP_Filesystem(). Inicialízase WP_Filesystem() só unha vez cando é necesario.
• Corrixido: redirección en consultas non principais (rompe Spectra e os temas de bloques). Engadiuse unha comprobación condicional para a consulta principal (baseado nas suxestións de @faisalahammad).
• Corrixido: bucle infinito no formulario de rexistro: gdpr-register.php chama a the_content de forma recursiva e causa un erro fatal de PHP. Excluíronse da lista as páxinas predefinidas de UM e as páxinas co shortcode [ultimatemember]; móstrase contido baleiro nesas páxinas se xa están seleccionadas, para evitar o erro de PHP (baseado nas suxestións de @faisalahammad).
• Corrixido: causaba rest_cookie_invalid_nonce en todo o sitio en todas as solicitudes REST identificadas. Refactorizouse a xestión dos avisos de administración para mellorar a seguridade e a flexibilidade. Eliminouse o uso global de um_admin_scripts.nonce localizado en wp-admin. Agora só se localiza nas páxinas de wp-admin de UM. (baseado no informe de @michaeldavisdcpersonal e nas suxestións de @faisalahammad).
• Corrixido: problema de seguridade polo que un visitante sen identificar podía ler o contido dos comentarios pendentes de moderación. (Informado por Alessandro Greco (Aleff) e Giovambattista Ianni, Universidade de Calabria (UNICAL)).
• Corrixido: problema de seguridade relacionado cunha escalada de privilexios sen identificación a través do campo de perfil do formulario de perfil. (Informado por Jakub Herman).
• Corrixido: problema de seguridade, ID de CVE: CVE-2026-18547. Usouse a lista de etiquetas permitidas de ‘user_input’ para sanitizar os campos de área de texto con HTML activado. Obsoletas as bibliotecas Pickadate.JS e Pickatime.JS para os campos dos formularios de usuario.
• Corrixido: estilos do botón de tipo do directorio de membros.
• Corrixido: engadida unha alternativa para que os campos de data e hora mostren a data e a hora co formato nativo de WordPress.

Modelos que precisan actualización

• gdpr-register.php
• profile.php

Obsoleto

• Obsoleto: bibliotecas Pickadate.JS e Pickatime.JS para os campos dos formularios de usuario. Úsanse no seu lugar os elementos nativos de HTML <input type="date" /> e <input type="time" />.

Nota: os recursos (JS/CSS) en caché e optimizados/minificados deben baleirarse/rexenerarse tras a actualización

Consulta o rexistro de cambios de todas as versións.