CVE-2026-119521
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Paid Member Subscriptions do wersji 3.1.3 zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy kod JavaScript może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w kontekście przeglądarki ofiary, przejąć sesję lub wykonać działania w imieniu administratora. Może to prowadzić do przejęcia konta lub modyfikacji zawartości serwisu.
Rekomendacja
Zaktualizuj wtyczkę Paid Member Subscriptions do wersji nowszej niż 3.1.3. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie możliwości wprowadzania treści przez użytkowników.
Inne podatności w Paid Member Subscriptions
Zobacz wszystkie- CVE-2026-97249Średnie
Podatność na nieautoryzowane obejście zabezpieczeń w Paid Member Subscriptions w wersjach do 3.0.9, bez wymaganego uwierzytelnienia.
- CVE-2026-112842Średnie
Wtyczka Paid Member Subscriptions do WordPressa (do wersji 3.1.2) ma błąd braku autoryzacji, który pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieuprawniony dostęp do funkcji lub danych objętych subskrypcją.
- CVE-2026-105317Wysokie
Podatność SQL Injection w Paid Member Subscriptions do wersji 3.1.1 pozwala subskrybentowi na wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.
- CVE-2026-59539Wysokie
Wtyczka Paid Member Subscriptions w wersji 3.0.7 i niższych umożliwia użytkownikom z rolą Subscriber wykorzystanie Insecure Direct Object References (IDOR). Pozwala to na dostęp do zasobów innych użytkowników bez autoryzacji.
- CVE-2026-57348Wysokie
Wtyczka Paid Member Subscriptions w wersji 3.0.4 i starszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) bez wymaganego uwierzytelnienia. Atakujący może wysłać spreparowane żądanie HTTP, które zostanie wykonane przez serwer, umożliwiając dostęp do wewnętrznych zasobów sieciowych.
- CVE-2026-39514Wysokie
Wersje Paid Member Subscriptions do 2.17.3 zawierają podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Cozmoslabs Paid Member Subscriptions paid-member-subscriptions allows Stored XSS.This issue affects Paid Member Subscriptions: from n/a through 3.1.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS