CVE-2026-0737
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.4.7 zawiera podatność na Stored XSS w atrybucie 'src' shortcode'a su_lightbox. Brak odpowiedniej sanitizacji wejścia i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie skryptów.
Ocena ryzyka
Atakujący może wstrzyknąć trwały skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie, co może prowadzić do kradzieży danych lub przejęcia konta administratora.
Rekomendacja
Należy zaktualizować wtyczkę Shortcodes Ultimate do najnowszej wersji, która zawiera poprawkę.
Inne podatności w Shortcodes Ultimate
Zobacz wszystkie- CVE-2026-3885Średnie
Wtyczka WP Shortcodes Plugin — Shortcodes Ultimate dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) przez shortcode 'su_box' we wszystkich wersjach do 7.4.9 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapowania wyjścia na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie współautora wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-0738Średnie
Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.4.8 włącznie zawiera podatność na Stored Cross-Site Scripting przez shortcode su_carousel, wynikającą z niedostatecznego oczyszczania danych wejściowych i wyjściowych w polu meta załącznika 'su_slide_link'.
Oryginalny opis (angielski, źródło NVD)
The WP Shortcodes Plugin - Shortcodes Ultimate plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 7.4.7. This is due to insufficient input sanitization and output escaping in the 'src' attribute of the su_lightbox shortcode. This makes it possible for authenticated attackers, with contributor level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS