CVE-2026-15047
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka s2Member dla WordPressa przed wersją 260805 nie escapuje kilku atrybutów shortcode przed wypisaniem ich w kontekście skryptu inline, co pozwala użytkownikom z dostępem na poziomie contributora na wstrzyknięcie dowolnego JavaScriptu, który wykonuje się, gdy odwiedzający otworzy post (stored XSS).
Ocena ryzyka
Ryzyko przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego kodu.
Rekomendacja
Zaktualizuj wtyczkę s2Member do wersji 260805 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The s2Member WordPress plugin before 260805 does not escape several shortcode attributes before outputting them inside an inline script context, allowing users with contributor-level access to inject arbitrary JavaScript that executes when a viewer opens the post (stored XSS).