CVE-2026-15047

ŚrednieCVSS 6.8

Opublikowano: 10/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka s2Member dla WordPressa przed wersją 260805 nie escapuje kilku atrybutów shortcode przed wypisaniem ich w kontekście skryptu inline, co pozwala użytkownikom z dostępem na poziomie contributora na wstrzyknięcie dowolnego JavaScriptu, który wykonuje się, gdy odwiedzający otworzy post (stored XSS).

Ocena ryzyka

Ryzyko przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego kodu.

Rekomendacja

Zaktualizuj wtyczkę s2Member do wersji 260805 lub nowszej.

Inne podatności w s2Member

CVE-2025-62023Krytyczne
Podatność niewłaściwej kontroli generowania kodu (Code Injection) w wtyczce s2Member autorstwa Cristiána Lávaque. Problem dotyczy s2Member w wersjach od n/a do 250905.

Oryginalny opis (angielski, źródło NVD)

The s2Member WordPress plugin before 260805 does not escape several shortcode attributes before outputting them inside an inline script context, allowing users with contributor-level access to inject arbitrary JavaScript that executes when a viewer opens the post (stored XSS).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS