CVE-2026-4871
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Sports Club Management dla WordPress do wersji 1.12.9 zawiera podatność na przechowywany XSS przez atrybuty 'before' i 'after' shortcode'a scm_member_data. Uwierzytelnieni atakujący z dostępem na poziomie Współautora i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, wykraść dane lub rozprzestrzeniać złośliwe oprogramowanie w kontekście zaufanej domeny WordPress.
Rekomendacja
Zaktualizuj wtyczkę Sports Club Management do najnowszej wersji, która zawiera poprawki bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
The Sports Club Management plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'before' and 'after' attributes of the `scm_member_data` shortcode in all versions up to, and including, 1.12.9 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.