CVE-2026-100182
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Download Monitor dla WordPressa jest podatna na przechowywany atak XSS przez postMessage do edytora administratora. Brak odpowiedniego czyszczenia danych wejściowych i wyjściowych pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonają się po otwarciu zainfekowanej strony.
Ocena ryzyka
Atakujący może przejąć sesję administratora, wykraść dane lub zainfekować inne strony, jeśli administrator odwiedzi spreparowaną stronę i otworzy ekran edycji pobrania.
Rekomendacja
Zaktualizuj wtyczkę Download Monitor do najnowszej wersji, która zawiera poprawkę. Dodatkowo ogranicz uprawnienia administratorów i stosuj zasady bezpieczeństwa dla treści.
Inne podatności w Download Monitor
Zobacz wszystkie- CVE-2026-39489Średnie
W wersjach Download Monitor do 5.1.9 występuje podatność, która pozwala na pobieranie dowolnych plików przez nieautoryzowanych użytkowników.
- CVE-2026-39486Wysokie
Wtyczka Download Monitor dla WordPressa do wersji 5.1.8 włącznie zawiera podatność na ślepą iniekcję SQL spowodowaną niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL.
- CVE-2026-4401Średnie
Wtyczka Download Monitor dla WordPressa do wersji 5.1.10 włącznie jest podatna na Cross-Site Request Forgery (CSRF) w funkcjach actions_handler() i bulk_actions_handler(). Brak weryfikacji nonce umożliwia nieuwierzytelnionemu atakującemu usunięcie, wyłączenie lub włączenie zatwierdzonych ścieżek pobierania poprzez sfałszowane żądanie, pod warunkiem nakłonienia administratora do kliknięcia w link.
Oryginalny opis (angielski, źródło NVD)
The Download Monitor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Cross-Origin postMessage to Admin Editor in all versions up to, and including, 5.2.10 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the attacker to trick an authenticated Administrator into visiting an attacker-controlled page that targets an open Download edit screen, after which the payload is persisted unfiltered via the Administrator's unfiltered_html capability and later emitted verbatim to the frontend by the [download_data] shortcode's unescaped post_content render path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS