CVE-2026-103424
ŚrednieCVSS 5.4Streszczenie
Wtyczka Anti-Spam by CleanTalk dla WordPressa do wersji 6.88 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'comment' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna, gdy komentarz od adresu email atakującego zostanie zatwierdzony; na domyślnych instalacjach WordPress tylko pierwszy komentarz z danego adresu jest moderowany, a kolejne są automatycznie zatwierdzane.
Ocena ryzyka
Organizacja narażona jest na wstrzyknięcie złośliwych skryptów, które mogą kraść dane użytkowników, przejmować sesje lub rozprzestrzeniać złośliwe oprogramowanie na stronie.
Rekomendacja
Zaleca się aktualizację wtyczki Anti-Spam by CleanTalk do najnowszej wersji z poprawką. Należy również rozważyć wzmocnienie polityki moderacji komentarzy oraz wdrożenie mechanizmów wykrywania i blokowania złośliwych skryptów.
Inne podatności w Anti-Spam by CleanTalk
Zobacz wszystkie- CVE-2026-10770Średnie
Wtyczka Anti-Spam by CleanTalk dla Drupala zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Problem dotyczy wersji od 0.0.0 do 9.7.1.
- CVE-2026-8071Wysokie
Podatność w wtyczce Anti-Spam by CleanTalk dla WordPress przed wersją 6.79: brak odpowiedniej sanityzacji treści w niestandardowym shortcode używanym w funkcji kodowania e-maili. Nieuwierzytelnieni atakujący mogą wstrzykiwać skrypty do zatwierdzonych komentarzy.
Oryginalny opis (angielski, źródło NVD)
The Anti-Spam by CleanTalk – Spam Protection Without CAPTCHA plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment' parameter in all versions up to, and including, 6.88 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This vulnerability is exploitable once a comment from the attacker's email address has been approved; on default WordPress installations, only the first comment from a given email address is held for moderation, meaning subsequent comments auto-approve and immediately expose the payload to site visitors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS