CVE-2026-0738
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.4.8 włącznie zawiera podatność na Stored Cross-Site Scripting przez shortcode su_carousel, wynikającą z niedostatecznego oczyszczania danych wejściowych i wyjściowych w polu meta załącznika 'su_slide_link'.
Ocena ryzyka
Atakujący z dostępem autora lub wyższym może wstrzyknąć złośliwy skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie, potencjalnie kradnąc dane użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Shortcodes Ultimate do najnowszej wersji zawierającej poprawki bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
The WP Shortcodes Plugin - Shortcodes Ultimate plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the su_carousel shortcode in all versions up to, and including, 7.4.8. This is due to insufficient input sanitization and output escaping in the 'su_slide_link' attachment meta field. This makes it possible for authenticated attackers, with author level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.