CVE-2026-11855
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Simple Membership dla WordPress przed wersją 4.7.5 nie weryfikuje autentyczności żądań webhook Stripe, gdy nie skonfigurowano tajnego klucza podpisu, ani nie zabezpiecza wartości pobranych z tych żądań przed wyświetleniem w powiadomieniu administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów web, które wykonują się w kontekście zalogowanego administratora.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji administratora, kradzieży danych lub dalszej eskalacji ataku w środowisku WordPress, co może prowadzić do pełnej kompromitacji witryny.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Simple Membership do wersji 4.7.5 lub nowszej oraz skonfigurować tajny klucz podpisu dla webhook Stripe, aby zapewnić weryfikację autentyczności żądań.
Oryginalny opis (angielski, źródło NVD)
The Simple Membership WordPress plugin before 4.7.5 does not verify the authenticity of Stripe webhook requests when no signing secret is configured, nor escape a value taken from them before outputting it in an administrator notice, allowing unauthenticated attackers to inject arbitrary web scripts that execute in the context of a logged-in administrator.