CVE-2025-10125: Stored Cross-Site Scripting w wtyczce Memberlite Shortcodes dla WordPress

Co wiadomo

Wtyczka Memberlite Shortcodes dla WordPress do wersji 1.4 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'row'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Memberlite Shortcodes i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy bezpieczeństwa i edukacja zespołu o zagrożeniach XSS są również wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference