CVE-2024-5647

ŚrednieCVSS 6.4

Opublikowano: 03/07/2025(UTC)Zaktualizowano: 25/08/2026(UTC)Przetłumaczono: 26/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wiele wtyczek WordPress jest podatnych na Stored Cross-Site Scripting (XSS) za pośrednictwem dołączonej biblioteki Magnific Popups (wersja 1.1.0) w różnych wersjach, z powodu niewystarczającej sanityzacji wejścia i braku escape'owania wyjścia dla atrybutów dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Uwaga: podatność została naprawiona w bibliotece nadrzędnej (Magnific Popups wersja 1.2.0) poprzez domyślne wyłączenie ładowania HTML w niektórych polach.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaleca się aktualizację wszystkich wtyczek WordPress do wersji, które używają Magnific Popups 1.2.0 lub nowszej, oraz regularne aktualizacje wtyczek i rdzenia WordPress.

Inne podatności w WordPress plugins

CVE-2026-4375Krytyczne
Wtyczki WordPress DoLeads Integrator i wp2epub (wersje do 0.65) umożliwiają zdalne wykonanie kodu (RCE) po ich zainstalowaniu na blogu. Podatność wynika z możliwości instalowania rozszerzeń z wordpress.org przez nieautoryzowanych użytkowników.

Oryginalny opis (angielski, źródło NVD)

Multiple plugins for WordPress are vulnerable to Stored Cross-Site Scripting via the plugin's bundled Magnific Popups library (version 1.1.0) in various versions due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. NOTE: This vulnerability was fixed in the upstream library (Magnific Popups version 1.2.0) by disabling the loading of HTML within certain fields by default.