CVE-2026-10082

ŚrednieCVSS 6.1

Opublikowano: 27/07/2026(UTC)Zaktualizowano: 27/07/2026(UTC)Przetłumaczono: 27/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Advanced Ads dla WordPressa przed wersją 2.0.23 nie oczyszcza i nie koduje parametru shortcode przed wyświetleniem go na stronie. Umożliwia to użytkownikom z rolą Współautora i wyższym wstrzykiwanie dowolnych skryptów webowych, które wykonują się podczas przeglądania zmodyfikowanej treści, także przez użytkowników z wyższymi uprawnieniami.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach administratorów, prowadząc do kradzieży sesji, przejęcia konta lub dalszego ataku na witrynę.

Rekomendacja

Zaktualizuj wtyczkę Advanced Ads do wersji 2.0.23 lub nowszej, która zawiera odpowiednie zabezpieczenia przed wstrzykiwaniem skryptów.

Inne podatności w Advanced Ads

CVE-2026-94180Średnie
Wtyczka Advanced Ads (wersje do 2.0.26) ma podatność Authorization Bypass Through User-Controlled Key, umożliwiającą odzyskanie osadzonych wrażliwych danych. Atakujący może wykorzystać kontrolowany przez użytkownika klucz do ominięcia autoryzacji.

Oryginalny opis (angielski, źródło NVD)

The Advanced Ads WordPress plugin before 2.0.23 does not sanitize and escape a shortcode parameter before outputting it in the page, allowing users with the Contributor role and above to inject arbitrary web scripts that execute when the affected content is viewed, including by higher-privileged users.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS