CVE-2026-101925

ŚrednieCVSS 6.4

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka bbp style pack dla WordPressa do wersji 6.4.8 włącznie jest podatna na trwały XSS przez parametry 'display_name' i 'bbp_reply_content'. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Skuteczny atak wymaga umieszczenia odpowiedzi w bloku <pre>, aby uniknąć konwersji cudzysłowów.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków. Atak wymaga konta o niskich uprawnieniach, ale może dotknąć wszystkich odwiedzających.

Rekomendacja

Zaktualizuj wtyczkę bbp style pack do najnowszej wersji z poprawką. Dodatkowo rozważ ograniczenie możliwości używania bloków <pre> w odpowiedziach, jeśli nie są niezbędne.

Inne podatności w bbp style pack

CVE-2026-15010Średnie
Wtyczka bbp Style Pack dla WordPressa w wersjach do 6.4.5 zawiera podatność na trwałe ataki XSS. Funkcja bsp_topic_fields_form_save() zapisuje dane z $_POST bez filtrowania, a bsp_topic_content_append_topic_fields() wyświetla je bez kodowania HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie na zainfekowanej stronie.

Oryginalny opis (angielski, źródło NVD)

The bbp style pack plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'display_name (via /wp-admin/profile.php) + bbp_reply_content (via bbPress reply form)' parameter in all versions up to, and including, 6.4.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful exploitation requires the attacker to wrap their crafted reply in a <pre> block, which prevents WordPress's wpautop/wptexturize processors from converting straight double quotes in the stored display name into typographic curly-quote entities that would otherwise neutralize the attribute-injection.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS