CVE-2025-11197
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Draft List dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez shortcode 'drafts' we wszystkich wersjach do 2.6.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami współautora może wstrzyknąć trwałe złośliwe skrypty, które będą wykonywane u innych użytkowników, co może prowadzić do przejęcia sesji lub rozprzestrzeniania złośliwego kodu.
Rekomendacja
Zaktualizuj wtyczkę Draft List do wersji nowszej niż 2.6.1. Ogranicz liczbę użytkowników z uprawnieniami współautora i regularnie przeglądaj zawartość stron.
Inne podatności w Draft List
Zobacz wszystkie- CVE-2026-66603Średnie
Podatność XSS (Cross-site Scripting) w wtyczce Draft List (simple-draft-list) pozwala na przechowywany atak XSS. Wersje do 2.6.4 są podatne.
- CVE-2026-49466Średnie
Draft List to wtyczka WordPress do zarządzania i promowania nieopublikowanych treści. Wersje 2.6.3 i niższe są podatne na trwały cross-site scripting (XSS) w shortcode `[drafts]` i widżecie Draft List, gdy udokumentowana opcja niestandardowego szablonu `template` umieszcza placeholder `{{draft}}` wewnątrz atrybutu HTML. Podatny kod wstawia surowy `post_title` wersji roboczej do `{{draft}}`, gdy bieżący przeglądający nie może edytować postów. Ponieważ szablon jest sanityzowany przed zamianą `{{draft}}`, współpracownik może zapisać tytuł zawierający tylko cytat, który wychodzi poza atrybut w skonfigurowanym szablonie Draft List i wykonuje JavaScript dla odwiedzających publiczną stronę. Wersja 2.6.4 naprawia problem.
- CVE-2026-9104Średnie
Wtyczka Draft List dla WordPress do wersji 2.6.3 zawiera podatność na Stored XSS przez tytuł szkicu posta. Atakujący z dostępem autora mogą wstrzyknąć skrypty, które wykonają się dla użytkowników bez uprawnień edycji.
Oryginalny opis (angielski, źródło NVD)
The Draft List plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'drafts' shortcode in all versions up to, and including, 2.6.1 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS