CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 2CVE-2018-16285 – UserPro <= 4.9.23 - Unauthenticated Cross-Site Scripting
https://notcve.org/view.php?id=CVE-2018-16285
The UserPro plugin through 4.9.23 for WordPress allows XSS via the shortcode parameter in a userpro_shortcode_template action to wp-admin/admin-ajax.php. El plugin UserPro hasta la versión 4.9.23 para WordPress permite Cross-Site Scripting (XSS) mediante el parámetro shortcode en una acción userpro_shortcode_template en wp-admin/admin-ajax.php. • https://risataim.blogspot.com/2018/09/xss-en-plugin-userpro-de-wordpress.html https://wpvulndb.com/vulnerabilities/9124 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.8EPSS: 78%CPEs: 1EXPL: 1CVE-2017-16562 – UserPro <= 4.9.17 - Authentication Bypass
https://notcve.org/view.php?id=CVE-2017-16562
The UserPro plugin before 4.9.17.1 for WordPress, when used on a site with the "admin" username, allows remote attackers to bypass authentication and obtain administrative access via a "true" value for the up_auto_log parameter in the QUERY_STRING to the default URI. El plugin UserPro en versiones anteriores a la 4.9.17.1 para WordPress, cuando se utiliza en una página con el nombre de usuario "admin", permite que atacantes remotos omitan la autenticación y obtengan acceso administrativo mediante un valor "true" para el parámetro up_auto_log en QUERY_STRING en la URI por defecto. • https://www.exploit-db.com/exploits/43117 https://codecanyon.net/item/userpro-user-profiles-with-social-login/5958681?s_rank=9 https://wpvulndb.com/vulnerabilities/8950 • CWE-287: Improper Authentication •