CVE-2026-15931
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie oczyszcza wartości nazwy subskrybenta otrzymanej z nieuwierzytelnionego żądania zatwierdzenia płatności ani nie escapuje jej podczas wyświetlania w panelu administracyjnym. Pozwala to nieuwierzytelnionym atakującym na przechowywanie dowolnego kodu JavaScript, który wykonuje się w sesji administratora.
Ocena ryzyka
Atakujący może przejąć sesję administratora, co prowadzi do pełnej kontroli nad stroną, w tym do kradzieży danych i modyfikacji treści.
Rekomendacja
Zaktualizuj wtyczkę Simple Membership do wersji 4.7.8 lub nowszej, która zawiera odpowiednie oczyszczanie i escapowanie danych.
Inne podatności w Simple Membership
Zobacz wszystkie- CVE-2026-15930Krytyczne
Wtyczka Simple Membership do WordPressa przed wersją 4.7.8 nie weryfikuje, czy rejestracja użytkownika się powiodła, przed użyciem zwróconej wartości jako ID użytkownika do aktualizacji konta. Pozwala to nieuwierzytelnionym atakującym na nadpisanie danych konta głównego administratora (w tym adresu e-mail) i przejęcie go przez resetowanie hasła.
- CVE-2026-14936Średnie
Wtyczka Simple Membership dla WordPressa przed wersją 4.7.7 nie weryfikuje, czy powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy przed aktywacją członkostwa. Umożliwia to nieuwierzytelnionym użytkownikom aktywację lub przedłużenie członkostwa przy użyciu płatności dokonanej na dowolne konto PayPal, które kontrolują.
- CVE-2026-66712Wysokie
Nieuwierzytelnione złamanie kontroli dostępu w Simple Membership w wersjach do 4.7.8.
- CVE-2026-11855Wysokie
Wtyczka Simple Membership dla WordPress przed wersją 4.7.5 nie weryfikuje autentyczności żądań webhook Stripe, gdy nie skonfigurowano tajnego klucza podpisu, ani nie zabezpiecza wartości pobranych z tych żądań przed wyświetleniem w powiadomieniu administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów web, które wykonują się w kontekście zalogowanego administratora.
- CVE-2026-42663Średnie
W wersjach Simple Membership <= 4.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
- CVE-2026-34886Wysokie
Wersje Simple Membership do 4.7.1 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
Oryginalny opis (angielski, źródło NVD)
The Simple Membership WordPress plugin before 4.7.8 does not sanitise a subscriber name value received from an unauthenticated payment approval request, nor escape it when displaying it in the administration dashboard, allowing unauthenticated attackers to store arbitrary JavaScript that executes in an administrator's session.