Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce clubmember dla WordPress (CVE-2025-12396)
Wtyczka clubmember WordPress do 0.2 ma lukę Stored XSS w ustawieniach admina, dotyczy multisite i wyłączonego unfiltered_html. Zalecane aktualizacje i monitorowanie.
- CVSS
- 4.4 MEDIUM
- EPSS
- 6.99%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka clubmember dla WordPress do wersji 0.2 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych i ucieczki znaków. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać i wykonywać złośliwe skrypty w panelu WordPress, co może prowadzić do przejęcia sesji, modyfikacji zawartości lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Zagrożenie dotyczy głównie instalacji multisite oraz środowisk z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi właścicieli i operatorów takich systemów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki clubmember i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów, zweryfikować i oczyścić ustawienia wtyczki pod kątem podejrzanych skryptów oraz monitorować logi pod kątem nietypowych działań. Dodatkowo warto rozważyć włączenie filtra unfiltered_html, jeśli to możliwe, aby zmniejszyć ryzyko.