CVE-2024-9242

Memberful – Plugin de assinaturas, versões até a 1.73.7, inclusive

A vulnerabilidade consiste em um Stored Cross-Site Scripting (XSS) devido à sanitização insuficiente de entradas e à falta de escapamento de saídas em atributos fornecidos pelo usuário nos shortcodes memberful buy subscription link e memberful podcasts link do plugin. Isso permite que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada.

Para versões até e incluindo a 1.73.7, atualize para uma versão que corrija o problema de sanitização insuficiente de entradas e escapamento de saída. Como solução temporária, considere restringir o acesso aos códigos de atalho memberful buy subscription link e memberful podcasts link para minimizar o risco de exploração. Além disso, limite o acesso de nível de colaborador e superior apenas a usuários confiáveis.