CVE-2025-14448: podatność Stored Cross-Site Scripting w wtyczce WP-Members dla WordPress

Co wiadomo

Wtyczka WP-Members dla WordPress do wersji 3.5.4.3 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez pola profilu użytkownika typu Multiple Checkbox i Multiple Select. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym wstrzykiwanie złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP-Members u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference