CVE-2026-101890

ŚrednieCVSS 5.4

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Prime Mover dla WordPressa przed wersją 2.2.1 zawiera podatność na przechowywany cross-site scripting, która pozwala atakującym na wykonanie dowolnego JavaScriptu poprzez wstrzyknięcie nieucieczonej wartości site_title w pliku footprint.json pakietu. Atakujący mogą umieścić spreparowany pakiet w katalogu prime-mover-export-files, aby złośliwa wartość renderowała się bez ucieczki w metodzie column_site_title() pliku PrimeMoverBackupMenuListTable.php, wywołując wykonanie skryptu w przeglądarce administratora podczas przeglądania listy pakietów Prime Mover bez konieczności przywracania pakietu.

Ocena ryzyka

Atakujący może przejąć sesję administratora, wykonać dowolny kod JavaScript w kontekście przeglądarki administratora, co może prowadzić do kradzieży danych, modyfikacji treści lub dalszej kompromitacji witryny.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Prime Mover do wersji 2.2.1 lub nowszej, która zawiera poprawkę eliminującą podatność na XSS.

Inne podatności w Prime Mover plugin

CVE-2026-101889Średnie
Wtyczka Prime Mover dla WordPressa przed wersją 2.2.1 zawiera podatność na path traversal, która pozwala uwierzytelnionym administratorom na usuwanie dowolnych katalogów poprzez importowanie spreparowanego pakietu WPRIME/TAR z manipulowanymi wartościami tar_root_folder w pliku wprime-config.json. Atakujący mogą wykorzystać niewystarczającą walidację ścieżek w computeExtractVariables() i validateImportedSiteVsPackage(), aby spowodować, że primeMoverDoDelete() usunie katalogi poza zamierzoną ścieżką ekstrakcji, potencjalnie usuwając krytyczne katalogi WordPressa, takie jak wp-admin, i czyniąc witrynę nieoperacyjną.

Oryginalny opis (angielski, źródło NVD)

The Prime Mover plugin for WordPress before 2.2.1 contains a stored cross-site scripting vulnerability that allows attackers to execute arbitrary JavaScript by injecting an unescaped site_title value in a package's footprint.json file. Attackers can place a crafted package under the prime-mover-export-files directory so that the malicious value renders unescaped in the column_site_title() method of PrimeMoverBackupMenuListTable.php, triggering script execution in an administrator's browser when they view the Prime Mover Packages list table without needing to restore the package.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS