CVE-2026-104726
ŚrednieCVSS 6.4Streszczenie
Wtyczka Name Directory dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'dir' shortcode'u we wszystkich wersjach do 1.34.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce odwiedzających, co umożliwia kradzież sesji, przejęcie konta lub modyfikację treści strony. Ryzyko dotyczy każdej witryny WordPress z zainstalowaną tą wtyczką.
Rekomendacja
Zaktualizuj wtyczkę Name Directory do wersji nowszej niż 1.34.2 lub ją wyłącz, jeśli aktualizacja nie jest dostępna. Dodatkowo ogranicz liczbę kont z uprawnieniami współpracownika.
Inne podatności w Name Directory
Zobacz wszystkie- CVE-2026-104397Średnie
Wtyczka Name Directory do WordPressa zawiera podatność na brak autoryzacji, która pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 1.34.2 włącznie.
- CVE-2026-104396Średnie
Wtyczka Name Directory do WordPressa zawiera podatność na Stored XSS (trwały cross-site scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.34.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Name Directory plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'dir' Shortcode Attribute in all versions up to, and including, 1.34.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS