Analityczne wykorzystywanie plików cookies
CVE-2025-13367: podatność Stored XSS w wtyczce User Registration & Membership dla WordPress
Podatność Stored XSS w wtyczce WordPress User Registration & Membership do wersji 4.4.6 pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami contributor i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.01%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka User Registration & Membership dla WordPress do wersji 4.4.6 zawiera podatność typu Stored Cross-Site Scripting (XSS) w wielu atrybutach shortcode, wynikającą z niewystarczającej sanitacji i ucieczki danych. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami eskalację ataku poprzez wstrzyknięcie złośliwego kodu, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników i administratorów. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo danych i usług webowych opartych na WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt stron pod kątem wstrzykniętego kodu. Warto także rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall.