CVE-2025-15064: Stored XSS w wtyczce Ultimate Member dla WordPress

Co wiadomo

Wtyczka Ultimate Member do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez pole opisu użytkownika w wersjach do 2.11.1 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, umożliwiając atakującym z uprawnieniami subskrybenta lub wyższymi wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala na wykonywanie złośliwych skryptów w kontekście przeglądarki użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Atak wymaga posiadania konta z poziomem subskrybenta lub wyższym oraz włączenia opcji obsługi HTML w opisie użytkownika, co ogranicza ryzyko, ale nadal stanowi istotne zagrożenie dla właścicieli stron korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ultimate Member i ich wdrożenie. Jeśli aktualizacja nie jest możliwa, należy rozważyć wyłączenie opcji "HTML support for user description" w ustawieniach wtyczki, ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić audyt i usunąć potencjalnie zainfekowane treści w opisach użytkowników.

Źródła

• NVD
• Reference
• Reference