Ultimate Member – 사용자 프로필, 회원가입, 로그인, 회원 디렉토리, 콘텐츠 제한 및 멤버십 플러그인

변경이력

중요:

중요: 플러그인을 최소 버전 2.6.7 이상으로 즉시 업데이트하세요. 버전 2.6.7은 보안 권한 상승 취약점을 패치합니다. 자세한 내용은 이 문서를 참조하세요.

2.13.1 2026-09-15

개선 사항

• 추가: wp-config.php 파일에 쓰기 권한이 없는 경우, wp-cli/wp-config-transformer 라이브러리를 대체로 사용할 수 있도록 했습니다.
• 추가: 필터 후크 um_members_directory_filter_text에 3번째 매개변수 $is_default를 추가하여, 관리자 필터링인지 프론트엔드 쿼리인지 확인하도록 했습니다.
• 추가: 첫 설치 후 ‘관리 기능 차단’ 옵션이 기본적으로 활성화됩니다.
• 최적화: 계정 상태 일괄 확인 시 발생하는 느린 SQL 쿼리.
• 최적화: 콜백 드롭다운이 포함된 프로필 페이지를 편집할 때 발생하는 중복 SQL 호출. 단일 로딩 과정에서 사용자 및 키별로 사용자 메타 존재 여부 확인을 캐시함 (@MissVeronica 제보, 작성자 @faisalahammad).

버그 수정

• 수정: 인증되지 않은 방문자가 자신의 프로필 이름을 통해 관리자 세션에서 실행되는 자바스크립트를 저장할 수 있는 보안 문제. (Karthik Ramakrishnan 및 WPScan 팀이 보고함). um_convert_tags() 함수를 수정하고, 플레이스홀더 대체 과정 전반에 걸쳐 이스케이프 처리를 적용했습니다.
• 수정: 사용자 정의 usermeta 테이블을 사용하는 텍스트 유형 필터에 LIKE 비교 연산자 적용 문제 (@MissVeronica 신고, 작성자 @faisalahammad).
• 수정: “사용자가 이 필드를 편집할 수 있습니까?” 필드 설정이 사용자 프로필 양식 필드에만 표시되던 문제.
• 수정: wp-admin의 메뉴 > 설정 > 일반 > 페이지 섹션에서 페이지 목록을 불러오는 문제.
• 수정: 사용자 프로필 페이지에 필드 유형 ‘시간’이 표시되도록 했습니다.
• 수정: ‘불법 사용자 로그인’ 목록에 지정된 사용자 이름을 가진 현재 관리자 사용자에 대해 illegal_user_logins를 사용하는 문제.

사용되지 않음

• 사용 중단: 필터 후크 um_members_directory_filter_text_meta_value는 완전히 사용이 중단되었으며, 텍스트 유형 필터 필드의 경우 대체가 필요하지 않습니다.

2.13.0 2026-08-24

개선 사항

• 추가: 등록 또는 업그레이드 과정에서 user_login 필드의 값을 정제하기 위해 illegal_user_logins 필터를 사용합니다.
• 추가: wp-cli/wp-config-transformer 라이브러리를 사용하여 Ultimate Member의 API 키 설정 상수를 데이터베이스에 저장하는 대신 wp-config.php에 설정하도록 했습니다.
• 추가: 새로운 사용자 권한 함수 UM()->common()->users()->can_view_user(), UM()->common()->users()->get_privacy_setting(), UM()->common()->users()->is_user_profile_private(), UM()->common()->users()->get_restricted_privacy_notice(), UM()->common()->users()->can_view_private_user_profile(), UM()->common()->users()->can_view_user_profile(). 검증해야 할 다양한 경우를 포함하는 um_can_view_profile() 헬퍼의 향후 대체 기능입니다.
• 업데이트: 콜백에서 해당 함수들이 사용되지 않도록 하기 위해 WordPress 기본 제외 함수 목록을 업데이트했습니다.

버그 수정

• 수정 사항: WP_Filesystem() 초기화 최적화. WP_Filesystem()은 필요한 경우에만 한 번만 초기화됩니다.
• 수정 사항: 메인 쿼리가 아닌 경우의 리디렉션 문제(Spectra 및 블록 테마에서 오류 발생). 메인 쿼리에 대한 조건부 확인 기능 추가(@faisalahammad의 제안에 따라).
• 수정 사항: 등록 양식 무한 루프 – gdpr-register.php에서 the_content를 재귀적으로 호출하여 PHP 치명적 오류가 발생하던 문제를 해결했습니다. PHP 오류를 방지하기 위해 미리 정의된 UM 페이지와 [ultimatemember] 숏코드가 포함된 페이지를 목록에서 제외했으며, 해당 페이지가 이미 선택된 경우 빈 콘텐츠로 표시하도록 수정했습니다(@faisalahammad 님의 제안에 따름).
• 수정 사항: 인증된 모든 REST 요청에서 사이트 전체에 걸쳐 rest_cookie_invalid_nonce 오류가 발생하던 문제를 해결했습니다. 보안 및 유연성을 강화하기 위해 관리자 알림 처리 방식을 재구성했습니다. wp-admin에서 지역화된 um_admin_scripts.nonce를 전역적으로 사용하는 방식을 제거했습니다. 이제 UM wp-admin 페이지에서만 지역화됩니다. (@michaeldavisdcpersonal의 보고 및 @faisalahammad의 제안을 바탕으로 함).
• 수정: 인증되지 않은 방문자가 검토 대기 중인 댓글의 내용을 읽을 수 있는 보안 문제. (알레산드로 그레코(Aleff)와 칼라브리아 대학교(UNICAL)의 조반바티스타 이아니가 보고함).
• 수정: 프로필 양식의 역할 필드를 통한 인증되지 않은 권한 상승과 관련된 보안 문제. (제보자: Jakub Herman).
• 수정 사항: 보안 문제, CVE ID: CVE-2026-18547. ‘user_input’을 사용하여 HTML이 허용되는 텍스트 영역 필드의 태그 목록을 정제할 수 있었습니다. 사용자 양식 필드에 사용되던 Pickadate.JS 및 Pickatime.JS 라이브러리를 더 이상 사용하지 않도록 했습니다.
• 수정: 회원 디렉토리의 ‘유형’ 버튼 스타일.
• 수정 사항: 날짜 및 시간 필드에 대한 대체 처리를 추가하여, 워드프레스의 기본 형식으로 날짜와 시간을 표시하도록 했습니다.

업데이트가 필요한 템플릿

• gdpr-register.php
• profile.php

사용되지 않음

• 사용 중단: 사용자 양식 필드용 Pickadate.JS 및 Pickatime.JS 라이브러리. 대신 HTML 기본 태그인 <input type="date" /> 및 <input type="time" />를 사용하십시오.

참고: 캐시 처리 및 최적화/압축된 자산(JS/CSS)은 업그레이드 후 반드시 플러시/재생성해야 합니다

2.12.1 2026-07-06

개선 사항

• 추가: oEmbed 유형 필드 값에서 로컬 웹사이트 URL 리소스(이미지, 오디오, 미디어 라이브러리의 동영상, iframe에 삽입된 타사 로컬 URL)를 처리할 수 있는 기능이 추가되었습니다.
• 추가: 설정 필드의 API 키 필드 유형.

버그 수정

• 수정 사항: 보안 문제, CVE ID: CVE-2026-4248. convert_tag의 자리 표시자 대체 기능을 위한 외부 블랙리스트 필터. (추가 키는 Hrro가 조사했습니다. 이 정보는 Wordfence 팀에서 필요할 경우를 대비해 추가되었습니다).
• 수정: 실수로 manage_options 수준의 사용자 역할이 회원 가입/프로필 편집 양식의 ‘사용자 역할’ 드롭다운 목록에 표시될 수 있는 보안 문제. (조사: Haitam Lazaar).
• 수정: 설정

<

반응형 처리 중 iframe의 크기 비율 문제.
* 수정: 회원 명부 로딩 중 마우스 휠 동작 시 오버레이가 표시되는 문제.
* 수정: um_modal 스타일이 로드되지 않아 발생하는 WP_Styles 경고.
* 수정: oEmbed 유형 필드의 스타일 문제.

참고: 캐시 처리 및 최적화/압축된 자산(JS/CSS)은 업그레이드 후 반드시 플러시/재생성해야 합니다

2.12.0 2026-06-12

버그 수정

• 수정: 보안 문제, CVE ID: CVE-2026-7761.
  ** get_directory_by_hash() 함수가 post_type=’um_directory’이고 게시 상태인 게시물만 일치하도록 제한했습니다.
  ** 올바른 post_data를 가져오기 위해 strstr() 대신 0 === strpos()를 사용했습니다.
  ** build_user_card_data()에 tagline_fields 및 reveal_fields에서 허용된 필드만 가져오도록 하는 조건을 추가했습니다.
• 수정 사항: 보안 문제, CVE ID: CVE-2026-8489.
  ** user_description 필드를 표시하기 위해 WordPress 기본 wp_kses() 이스케이프 함수를 사용했습니다. 일반 링크를 클릭 가능한 상태로 만들기 위해 WordPress 기본 make_clickable() 함수를 사용했습니다.
• 수정 사항: 보안 문제, CVE ID: CVE-2026-xxxx. 요청에서 해당 사용자를 편집할 수 있는 사용자에게 역할 및 상태를 표시하도록 수정했습니다. Ben Tamam 님이 보고했습니다.
• 수정: 옵션 값이 “0”일 때 UM 옵션 기능을 제거했습니다.

사용되지 않음

• 일시적으로 사용 중단됨: UM REST API. 리팩토링이 필요한 구형 기능입니다. 조만간 리팩토링 후 다시 출시될 예정입니다.

모든 버전에 대한 변경 로그 보기.