CVE-2026-104396
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Name Directory do WordPressa zawiera podatność na Stored XSS (trwały cross-site scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.34.2 włącznie.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce administratora lub innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Name Directory do najnowszej wersji z poprawką. Dodatkowo rozważ zastosowanie mechanizmów filtrujących dane wejściowe i wyjściowe (np. Content Security Policy).
Inne podatności w Name Directory
Zobacz wszystkie- CVE-2026-104726Średnie
Wtyczka Name Directory dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'dir' shortcode'u we wszystkich wersjach do 1.34.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.
- CVE-2026-104397Średnie
Wtyczka Name Directory do WordPressa zawiera podatność na brak autoryzacji, która pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 1.34.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Jeroen Peters Name Directory name-directory allows Stored XSS.This issue affects Name Directory: from n/a through 1.34.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS