CVE-2026-102772
WysokieCVSS 7.2Streszczenie
Wtyczka CMB2 dla WordPressa w wersjach do 2.13.1 włącznie jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr '<textarea_code field id>' (np. kl_code, kl_post_code) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Ścieżka zapisu po stronie frontendu wymaga jedynie nonce'a CMB2 box, który jest emitowany do wszystkich odwiedzających, w tym niezalogowanych gości, poprzez proste żądanie GET, co czyni atak trywialnie osiągalnym bez poświadczeń na stronach z publicznym formularzem CMB2 zapisującym pole textarea_code.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych działań w kontekście witryny. Wpływa to na poufność i integralność danych użytkowników.
Rekomendacja
Update the CMB2 plugin to a version later than 2.13.1 as soon as available. If updating is not possible, consider restricting public CMB2 forms or applying additional security measures.
Inne podatności w CMB2
Zobacz wszystkie- CVE-2026-97336Wysokie
Wtyczka CMB2 dla WordPressa jest podatna na Stored Cross-Site Scripting przez typ pola 'file_list' we wszystkich wersjach do 2.13.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Atak jest możliwy tylko wtedy, gdy integrująca wtyczka lub motyw zarejestruje pole file_list w publicznie dostępnym formularzu lub meta boxie użytkownika.
- CVE-2026-97270Średnie
Podatność na Cross Site Scripting (XSS) w wtyczce CMB2 w wersjach do 2.13.0, wykorzystywana przez subskrybenta.
Oryginalny opis (angielski, źródło NVD)
The CMB2 plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the '<textarea_code field id> (e.g. kl_code, kl_post_code)' parameter in all versions up to, and including, 2.13.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The front-end save path requires only a CMB2 box nonce, which is emitted to all visitors including unauthenticated guests via a simple GET request, making the attack trivially reachable without any credentials on sites that expose a public CMB2 form writing a textarea_code field.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS