CVE-2023-54413
ŚrednieCVSS 6.1Streszczenie
Wtyczka WPML Multilingual CMS dla WordPressa przed wersją 4.6.1 zawiera podatność na odbity cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie skryptu poprzez spreparowany parametr wp_lang. Atakujący może nakłonić użytkowników do odwiedzenia /wp-login.php z wartością wp_lang wstrzykującą pole obrazu z zaciemnionym handlerem onfocus, aby wykonać JavaScript w przeglądarce ofiary.
Ocena ryzyka
Umożliwia to wykonanie złośliwego kodu w przeglądarce użytkownika, co może skutkować kradzieżą sesji lub danych logowania.
Rekomendacja
Zaktualizuj wtyczkę WPML Multilingual CMS do wersji 4.6.1 lub nowszej.
Inne podatności w WPML Multilingual CMS
Zobacz wszystkie- CVE-2026-17509Średnie
Wtyczka WPML Multilingual CMS dla WordPressa jest podatna na czasową iniekcję SQL przez parametr 'elementIds' we wszystkich wersjach do 4.9.5 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych. Podatność jest wykorzystywana z powodu obejścia autoryzacji, gdzie zarejestrowany callback autoryzacji nie wykonuje się, pozwalając każdemu uwierzytelnionemu użytkownikowi na dostęp do administracyjnych funkcji tłumaczenia.
- CVE-2026-12248Średnie
Wtyczka WPML Multilingual CMS dla WordPressa jest podatna na iniekcję SQL przez parametr 'sorting' we wszystkich wersjach do 4.9.5 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie tłumacza i wyższym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych informacji z bazy danych.
Oryginalny opis (angielski, źródło NVD)
WPML Multilingual CMS plugin for WordPress before 4.6.1 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject script by supplying crafted input in the wp_lang parameter. Attackers can lure users to /wp-login.php with a wp_lang value injecting an image input with an obfuscated onfocus handler to execute JavaScript in the victim's browser. Exploitation evidence was first observed by the Shadowserver Foundation on 2025-11-12.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS