CVE-2025-8440

ŚrednieCVSS 6.4

Opublikowano: 27/09/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Team Members dla WordPressa w wersjach do 5.3.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez pola imienia i nazwiska. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Ocena ryzyka

Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Rekomendacja

Zaktualizuj wtyczkę Team Members do wersji nowszej niż 5.3.5 lub ją wyłącz, jeśli aktualizacja nie jest dostępna.

Inne podatności w Team Members WordPress plugin

CVE-2026-11871Średnie
Wtyczka WordPress Team Members w wersji przed 9.3 nie wykonuje żadnej kontroli autoryzacji ani widoczności w nieuwierzytelnionej akcji AJAX, która zwraca pełne rekordy członków zespołu po ID. Umożliwia to nieuwierzytelnionym atakującym wyliczanie i ujawnianie danych, w tym adresów e-mail i numerów telefonów, członków zespołu, których administrator nie opublikował publicznie.

Oryginalny opis (angielski, źródło NVD)

The Team Members plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the first and last name fields in all versions up to, and including, 5.3.5 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS