Ultimate Member – ໂປຣໄຟລ໌ຜູ້ໃຊ້, ການລົງທະບຽນ, ການເຂົ້າສູ່ລະບົບ, ທຳນຽບສະມາຊິກ, ການຈຳກັດເນື້ອຫາ ແລະ ປລັກອິນການເປັນສະມາຊິກ

ບັນທຶກການປ່ຽນແປງ

ສຳຄັນ:

ສຳຄັນ: ກະລຸນາອັບເດດປລັກອິນເປັນເວີຊັນ 2.6.7 ຫຼື ສູງກວ່າໂດຍທັນທີ. ເວີຊັນ 2.6.7 ໄດ້ແກ້ໄຂຊ່ອງໂຫວ່ດ້ານຄວາມປອດໄພກ່ຽວກັບການລະເມີດສິດທິ. ກະລຸນາເບິ່ງ ບົດຄວາມນີ້ ສຳລັບຂໍ້ມູນເພີ່ມເຕີມ

2.13.1 2026-09-15

ການປັບປຸງເພີ່ມປະສິດທິພາບ

• Added: Fallback for wp-cli/wp-config-transformer library if the wp-config.php file isn’t writable.
• Added: Filter hook um_members_directory_filter_text 3rd parameter $is_default to check if it’s admin filtering or frontend query.
• Added: ‘Administrative capabilities ban’ option enabled by default after the first installation.
• Optimized: Slow SQL query for batch empty account status check.
• Optimized: Redundant SQL calls when editing the Profile page with callback dropdowns. Cached usermeta existence checks per user and key during a single load (Reported by @MissVeronica, author @faisalahammad).

ການແກ້ໄຂບັກ

• Fixed: Security issue related to an unauthenticated visitor can store JavaScript that runs in an administrator’s session, through their own profile name. (Reported by Karthik Ramakrishnan and WPScan team). Fixed um_convert_tags() function and applied the escapers throughout the placeholder replacement.
• Fixed: Using LIKE compare for the text-type filters with custom usermeta table (Reported by @MissVeronica, author @faisalahammad).
• Fixed: “Can user edit this field?” field setting displaying only for the User Profile form fields.
• Fixed: Getting the pages list in the wp-admin UM > Settings > General > Pages section.
• Fixed: Displaying the field-type time on the User Profile page.
• Fixed: Using illegal_user_logins for the current admin user with the username specified in the illegal user logins list.

ຍົກເລີກການນຳໃຊ້

• Deprecated: Filter hook um_members_directory_filter_text_meta_value is fully deprecated, replacement isn’t required for the text-type filter field.

2.13.0 2026-08-24

ການປັບປຸງເພີ່ມປະສິດທິພາບ

• Added: Using illegal_user_logins filter to sanitize the user_login field value during registration or upgrade.
• Added: Using wp-cli/wp-config-transformer library to set Ultimate Member > API keys settings constants in wp-config.php instead of storing them in DB.
• Added: New user-capabilities functions UM()->common()->users()->can_view_user(), UM()->common()->users()->get_privacy_setting(), UM()->common()->users()->is_user_profile_private(), UM()->common()->users()->get_restricted_privacy_notice(), UM()->common()->users()->can_view_private_user_profile(), UM()->common()->users()->can_view_user_profile(). The future replacement for the um_can_view_profile() helper with different cases to check.
• Updated: Version of the WordPress native excluded functions to avoid the using them in the callbacks.

ການແກ້ໄຂບັກ

• Fixed: WP_Filesystem() initialization optimization. Init WP_Filesystem() only once when it’s necessary.
• Fixed: Redirect on non-main queries (breaks Spectra and block themes). Added conditional check for the main query (based on @faisalahammad suggestions).
• Fixed: Registration form infinite loop – gdpr-register.php calls the_content recursively causing PHP fatal error. Excluded predefined UM pages and pages with [ultimatemember] shortcode from the list, render empty content for such pages if they are already selected to avoid PHP error (based on @faisalahammad suggestions).
• Fixed: Causes site-wide rest_cookie_invalid_nonce on all authenticated REST requests. Refactored admin notice handling to enhance security and flexibility. Removed using localized um_admin_scripts.nonce globally on wp-admin. It’s localized only on UM wp-admin pages. (based on @michaeldavisdcpersonal report and @faisalahammad suggestions).
• Fixed: Security issue when an unauthenticated visitor can read the content of comments awaiting moderation. (Reported by Alessandro Greco (Aleff) and Giovambattista Ianni, University of Calabria (UNICAL)).
• Fixed: Security issue related to an unauthenticated privilege escalation through the profile form role field. (Reported by Jakub Herman).
• Fixed: Security issue, CVE ID: CVE-2026-18547. Used ‘user_input’ allowed a tag list to sanitize HTML-enabled textarea fields. Deprecated Pickadate.JS and Pickatime.JS libraries for User Forms fields.
• Fixed: Member Directory type-button styles.
• Fixed: Added fallback for the date and time fields to show date and time using the WordPress native format.

ແມ່ແບບທີ່ຕ້ອງໄດ້ຮັບການອັບເດດ

• gdpr-register.php
• profile.php

ຍົກເລີກການນຳໃຊ້

• Deprecated: Pickadate.JS and Pickatime.JS libraries for User Forms fields. Used HTML native <input type="date" /> and <input type="time" /> instead.

ໝາຍເຫດ: ໄຟລ໌ (JS/CSS) ທີ່ຖືກເກັບແຄຊ ແລະ ປັບແຕ່ງແລ້ວ ຕ້ອງຖືກລ້າງ ຫຼື ສ້າງໃໝ່ຫຼັງຈາກການອັບເກຣດ

2.12.1 2026-07-06

ການປັບປຸງເພີ່ມປະສິດທິພາບ

• ເພີ່ມ: ຄວາມສາມາດໃນການຈັດການແຫຼ່ງ URL ເວັບໄຊພາຍໃນ (ຮູບພາບ, ສຽງ, ວິດີໂອ ຈາກຄັງສື່, URL ພາຍໃນຈາກພາກສ່ວນທີສາມທີ່ຝັງໃນ iframe) ໃນຄ່າຂອງຟິວ oEmbed-type.
• ເພີ່ມ: ປະເພດຟິວລະຫັດ API ສຳລັບຟິວການຕັ້ງຄ່າ.

ການແກ້ໄຂບັກ

• ແກ້ໄຂ: ບັນຫາຄວາມປອດໄພ, CVE ID: CVE-2026-4248. ຕົວຕອງລາຍຊື່ທີ່ບໍ່ອະນຸຍາດພາຍນອກສຳລັບຟັງຊັນ convert_tag replace placeholders. (ຄົ້ນຄວ້າຄີເພີ່ມເຕີມໂດຍ Hrro. ຂໍ້ມູນນີ້ຖືກເພີ່ມໃຫ້ທີມງານ Wordfence ຫາກພວກເຂົາຕ້ອງການຂໍ້ມູນນີ້).
• ແກ້ໄຂ: ບັນຫາຄວາມປອດໄພ ເມື່ອບົດບາດຜູ້ໃຊ້ລະດັບ manage_options ອາດຈະຖືກສະແດງຢູ່ໃນລາຍການເລືອກບົດບາດຜູ້ໃຊ້ ໃນຟອມລົງທະບຽນ/ແກ້ໄຂໂປຣໄຟລ໌ ໂດຍບໍ່ໄດ້ຕັ້ງໃຈ. (ຄົ້ນຄວ້າໂດຍ Haitam Lazaar).
• ແກ້ໄຂ: ກຳນົດ

<

ອັດຕາສ່ວນຂະໜາດຂອງ iframe> ໃນລະຫວ່າງການຈັດການການສະແດງຜົນຕາມຂະໜາດໜ້າຈໍ.
* ແກ້ໄຂ: ການເຮັດວຽກຂອງລູກກິ້ງເມົາສ໌ໃນລະຫວ່າງການໂຫຼດລາຍຊື່ສະມາຊິກ ແລະ ການສະແດງໜ້າຕ່າງຊ້ອນທັບ.
* ແກ້ໄຂ: ການແຈ້ງເຕືອນ WP_Styles ເນື່ອງຈາກບໍ່ໄດ້ໂຫຼດຮູບແບບ um_modal.
* ແກ້ໄຂ: ຮູບແບບຟິວ oEmbed-type.

ໝາຍເຫດ: ໄຟລ໌ (JS/CSS) ທີ່ຖືກເກັບແຄຊ ແລະ ປັບແຕ່ງແລ້ວ ຕ້ອງຖືກລ້າງ ຫຼື ສ້າງໃໝ່ຫຼັງຈາກການອັບເກຣດ

2.12.0 2026-06-12

ການແກ້ໄຂບັກ

• ແກ້ໄຂ: ບັນຫາຄວາມປອດໄພ, CVE ID: CVE-2026-7761.
  ** ຈຳກັດຟັງຊັນ get_directory_by_hash() ໃຫ້ກົງກັບໂພສທີ່ມີ post_type=’um_directory’ ແລະ ມີສະຖານະໂພສເປັນ publish ເທົ່ານັ້ນ.
  ** ນຳໃຊ້ 0 === strpos() ແທນ strstr() ເພື່ອໃຫ້ໄດ້ post_data ທີ່ຖືກຕ້ອງ.
  ** ເພີ່ມເງື່ອນໄຂສຳລັບການດຶງເອົາສະເພາະຟິວທີ່ໄດ້ຮັບອະນຸຍາດໃນ tagline_fields ແລະ reveal_fields ເຂົ້າໃນ build_user_card_data().
• ແກ້ໄຂ: ບັນຫາຄວາມປອດໄພ, CVE ID: CVE-2026-8489.
  ** ນຳໃຊ້ wp_kses() ຂອງ WordPress ເພື່ອລ້າງຂໍ້ມູນສຳລັບການສະແດງຟິວ user_description. ນຳໃຊ້ຟັງຊັນ make_clickable() ຂອງ WordPress ເພື່ອເຮັດໃຫ້ລິ້ງທົ່ວໄປສາມາດກົດໄດ້.
• ແກ້ໄຂ: ບັນຫາຄວາມປອດໄພ, CVE ID: CVE-2026-xxxx. ເຮັດໃຫ້ບົດບາດ ແລະ ສະຖານະສາມາດເບິ່ງເຫັນໄດ້ສຳລັບຜູ້ໃຊ້ທີ່ສາມາດແກ້ໄຂຜູ້ໃຊ້ເຫຼົ່ານີ້ໃນຄຳຮ້ອງຂໍ. ລາຍງານໂດຍ Ben Tamam.
• ແກ້ໄຂ: ຟັງຊັນການລຶບຕົວເລືອກ UM ເມື່ອຄ່າຂອງຕົວເລືອກເທົ່າກັບ “0”.

ຍົກເລີກການນຳໃຊ້

• ຍົກເລີກການນຳໃຊ້ຊົ່ວຄາວ: UM REST API. ເປັນຟີເຈີເກົ່າທີ່ຕ້ອງໄດ້ຮັບການປັບປຸງໂຄງສ້າງໃໝ່. ຈະຖືກປັບປຸງ ແລະ ເປີດໃຫ້ໃຊ້ງານຄືນໃໝ່ໃນໄວໆນີ້.

ເບິ່ງບັນທຶກການປ່ຽນແປງສຳລັບທຸກເວີຊັນ.