CVE-2026-12114: Wrażliwość Stored XSS w wtyczce Team Members dla WordPress

Co wiadomo

Wtyczka Team Members – Multi Language Supported Team dla WordPress do wersji 8.7 włącznie posiada lukę Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Luka umożliwia atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów, które wykonują się przy dostępie do zainfekowanych stron.

Wpływ biznesowy

Ta luka stanowi zagrożenie dla instalacji WordPress działających w trybie multi-site lub tam, gdzie wyłączono opcję unfiltered_html. Atakujący z uprawnieniami administratora mogą wprowadzić złośliwy kod, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków wewnętrznych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Team Members i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować konfigurację multi-site oraz ustawienia unfiltered_html. Dodatkowo warto przejrzeć logi pod kątem podejrzanych działań i monitorować witrynę pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference