CVE-2026-102905

ŚrednieCVSS 6.5

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

Wtyczka Ad Inserter dla WordPressa (wersje do 2.8.19 włącznie) jest podatna na wykonanie dowolnego shortcode, ponieważ pozwala użytkownikom na wykonanie akcji bez odpowiedniej walidacji wartości przed uruchomieniem do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode. Wykorzystanie wymaga, aby administrator skonfigurował blok reklamowy zawierający dynamiczny tag, taki jak {title}, {tag}, {category} lub {smart-tag}, z włączonym wyświetlaniem na stronach wyszukiwania.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykonać dowolne shortcode, co może prowadzić do ujawnienia informacji lub wykonania niepożądanych akcji w kontekście witryny. Wymaga to jednak określonej konfiguracji wtyczki przez administratora.

Rekomendacja

Zaktualizuj wtyczkę Ad Inserter do wersji nowszej niż 2.8.19. Przejrzyj konfigurację bloków reklamowych i unikaj używania dynamicznych tagów na stronach wyszukiwania, jeśli nie jest to konieczne.

Inne podatności w Ad Inserter WordPress plugin

CVE-2025-11745Średnie
Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez pole niestandardowe za pośrednictwem shortcode 'adinserter' we wszystkich wersjach do 2.8.7 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

Oryginalny opis (angielski, źródło NVD)

The The Ad Inserter – Ad Manager & AdSense Ads plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 2.8.19 This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes. Exploitation requires an administrator to have configured an ad block containing a dynamic tag such as {title}, {tag}, {category}, or {smart-tag} with display enabled on search pages, which is a normal and documented plugin configuration.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS