CVE-2026-0737
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.4.7 zawiera podatność na Stored XSS w atrybucie 'src' shortcode'a su_lightbox. Brak odpowiedniej sanitizacji wejścia i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie skryptów.
Ocena ryzyka
Atakujący może wstrzyknąć trwały skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie, co może prowadzić do kradzieży danych lub przejęcia konta administratora.
Rekomendacja
Należy zaktualizować wtyczkę Shortcodes Ultimate do najnowszej wersji, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
The WP Shortcodes Plugin - Shortcodes Ultimate plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 7.4.7. This is due to insufficient input sanitization and output escaping in the 'src' attribute of the su_lightbox shortcode. This makes it possible for authenticated attackers, with contributor level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.