CVE-2026-103422

WysokieCVSS 7.2

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka AnyComment dla WordPressa w wersjach do 0.3.6 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'email'. Wynika to z niewystarczającej sanityzacji danych wejściowych w publicznym punkcie końcowym REST /wp-json/anycomment/v1/subscribe oraz braku escapowania danych wyjściowych w AnyCommentSubscriptionsTable::column_default(), która zwraca zapisany adres e-mail dosłownie do komórki HTML <td>, gdy user_ID subskrypcji nie odpowiada istniejącemu WP_User. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, gdy administrator odwiedzi stronę administracyjną AnyComment → Subscriptions.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce administratora, co może prowadzić do kradzieży sesji lub przejęcia konta. Ryzyko jest wysokie, ponieważ wykorzystanie nie wymaga uwierzytelnienia i dotyczy panelu administracyjnego.

Rekomendacja

Zaktualizuj wtyczkę AnyComment do wersji nowszej niż 0.3.6, gdy tylko będzie dostępna. Do tego czasu rozważ wyłączenie publicznego punktu końcowego REST /wp-json/anycomment/v1/subscribe lub ograniczenie dostępu do niego.

Inne podatności w AnyComment

CVE-2025-62874Średnie
Podatność braku autoryzacji w wtyczce AnyComment (anycomment) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 0.3.6 włącznie.

Oryginalny opis (angielski, źródło NVD)

The AnyComment plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'email' parameter in versions up to, and including, 0.3.6. This is due to insufficient input sanitization on the public /wp-json/anycomment/v1/subscribe REST endpoint and missing output escaping in AnyCommentSubscriptionsTable::column_default(), which returns the stored email verbatim into an HTML <td> when the subscription's user_ID does not resolve to an existing WP_User. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever an administrator accesses the AnyComment → Subscriptions admin page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS