CVE-2025-62023
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność niewłaściwej kontroli generowania kodu (Code Injection) w wtyczce s2Member autorstwa Cristiána Lávaque. Problem dotyczy s2Member w wersjach od n/a do 250905.
Ocena ryzyka
Atakujący może wstrzyknąć i wykonać dowolny kod w kontekście WordPressa, co może prowadzić do przejęcia witryny i naruszenia danych użytkowników.
Rekomendacja
Zaktualizuj wtyczkę s2Member do wersji nowszej niż 250905, która zawiera poprawkę tej podatności.
Inne podatności w s2Member
Zobacz wszystkie- CVE-2026-86596Krytyczne
Wtyczka s2Member dla WordPressa w wersjach do 260927 włącznie jest podatna na zdalne wykonanie kodu poprzez parametr 'item_name'. Niedostateczna sanityzacja w funkcji strip_php_tags_deep() usuwa jedynie literalne sekwencje '<?', a późniejsze czyszczenie placeholderów po interpolacji odtwarza poprawny otwieracz '<?php' już po osadzeniu wartości kontrolowanej przez atakującego w szablonie e-mail.
- CVE-2026-15047Średnie
Wtyczka s2Member dla WordPressa przed wersją 260805 nie escapuje kilku atrybutów shortcode przed wypisaniem ich w kontekście skryptu inline, co pozwala użytkownikom z dostępem na poziomie contributora na wstrzyknięcie dowolnego JavaScriptu, który wykonuje się, gdy odwiedzający otworzy post (stored XSS).
Oryginalny opis (angielski, źródło NVD)
Improper Control of Generation of Code ('Code Injection') vulnerability in Cristián Lávaque s2Member s2member.This issue affects s2Member: from n/a through 250905.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS