CVE-2025-13220: Stored XSS w wtyczce Ultimate Member dla WordPress

Co wiadomo

Wtyczka Ultimate Member dla WordPress do zarządzania profilami użytkowników i rejestracją jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybuty shortcode w wersjach do 2.11.0 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych, co pozwala atakującym z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem Contributor lub wyższym wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji danymi lub innych działań naruszających bezpieczeństwo i integralność witryny oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ultimate Member i ich wdrożenie. W przypadku braku natychmiastowej łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode. Regularne przeglądy i testy bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference