Faits rapides

• Plugin affecté : s2Member (plugin d'adhésion / abonnement pour WordPress)
• Versions vulnérables : ≤ 251005
• Corrigé dans : 260101
• CVE : CVE‑2025‑13732
• Classe de vulnérabilité : Script intersite stocké (XSS) via shortcode
• Privilège requis pour créer la charge utile : Contributeur (authentifié)
• CVSS (rapporté) : 6.5 — Interaction utilisateur requise ; l'impact varie selon le contexte
• Date de divulgation : 18 fév, 2026
• Crédit du chercheur : Muhammad Yudha (tel que rapporté)

Pourquoi cela importe pour les propriétaires de sites (version courte)

• Les contributeurs peuvent créer des publications et inclure des shortcodes ou du contenu riche, même s'ils ne peuvent pas publier directement.
• Le XSS stocké permet aux scripts fournis par l'attaquant de persister sur votre site et de s'exécuter lorsqu'ils sont vus par d'autres utilisateurs (y compris les administrateurs).
• Même les comptes à faibles privilèges peuvent être exploités pour le vol de session, l'escalade de privilèges ou la distribution de logiciels malveillants.
• Les sites d'adhésion, les blogs multi-auteurs et tout site permettant des comptes de contributeurs sont à risque accru.

Comment cette vulnérabilité fonctionne (niveau élevé)

s2Member expose des shortcodes pour la logique d'adhésion (restriction de contenu, boutons de paiement, etc.). La faille se produit lorsque les attributs de shortcode ou le contenu interne fournis par un contributeur ne sont pas correctement nettoyés ou échappés avant le stockage ou le rendu. Lorsque les données stockées sont ensuite affichées, le navigateur peut exécuter du JavaScript intégré ou du HTML dangereux car il n'a pas été échappé.

Composants clés :

• Point d'ancrage de l'attaquant : un compte authentifié avec des capacités de contributeur.
• Vecteur de stockage : contenu de publication, champs personnalisés ou toute zone de stockage acceptant le texte de shortcode.
• Vecteur d'exécution : rendu du shortcode sur une page vue par un autre utilisateur (administrateur, éditeur ou visiteur).
• Cause profonde : nettoyage des entrées insuffisant et/ou échappement incorrect à la sortie lors de l'expansion du shortcode.

Scénarios d'exploitation et impacts probables

Exemples pratiques d'impacts possibles :

1. Élévation de privilèges via le vol de session admin

   Un attaquant stocke une charge utile malveillante dans un brouillon ou une publication soumise. Un administrateur prévisualise la page tout en étant connecté ; le script exfiltre le cookie de l'administrateur ou effectue des actions telles que la création d'un nouveau compte administrateur via des requêtes authentifiées.

2. Défiguration persistante du site ou injection de contenu

   Des bannières malveillantes, de faux formulaires de connexion ou des publicités injectées via XSS stocké persistent jusqu'à leur suppression et affectent les visiteurs.

3. Impact sur la chaîne d'approvisionnement / les clients sur les sites d'adhésion

   Pour les sites avec du contenu payant, des scripts peuvent capturer des détails de paiement ou rediriger les abonnés vers des pages frauduleuses.

4. Livraison de logiciels malveillants

   Les scripts stockés peuvent charger des ressources malveillantes supplémentaires (mineurs, traceurs, logiciels malveillants) à partir de domaines externes lorsque les visiteurs chargent des pages affectées.

Qui est à risque

• Tout site WordPress exécutant s2Member ≤ 251005.
• Sites qui permettent des comptes de contributeurs (blogs multi-auteurs, sites communautaires, sites d'adhésion).
• Sites où les administrateurs prévisualisent le contenu des contributeurs sur un site en direct tout en étant authentifiés.
• Sites sans nettoyage des entrées/sorties, surveillance ou protections WAF appropriées.

Actions immédiates (que faire maintenant)

Si votre site exécute une version vulnérable de s2Member, agissez rapidement :

1. Mettre à jour s2Member

   Mettre à jour vers la version 260101 ou ultérieure en tant que priorité absolue. Cela corrige la cause profonde dans le plugin.

2. Si vous ne pouvez pas mettre à jour immédiatement : appliquer des contrôles compensatoires
   • Restreindre la création de nouveaux comptes de contributeurs et examiner les contributeurs actifs.
   • Désactiver ou éviter les aperçus frontaux par les administrateurs ; utiliser un environnement de staging isolé pour prévisualiser le contenu.
   • Limiter le rendu des shortcodes sur le front end pour le contenu créé par des rôles non fiables.
3. Faire tourner les identifiants sensibles

   Si un administrateur a pu voir du contenu malveillant, faire tourner les mots de passe administratifs, invalider les sessions (changer les sels ou forcer la déconnexion), et régénérer les clés API.

4. Scannez à la recherche de contenu suspect.

   Rechercher des publications, des champs personnalisés et des options pour des modèles tels que

   Vérifiez ma commande

   0

   Sous-total

   Taxes et frais de port calculés à la caisse

   Passer à la caisse