CVE-2026-104740
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka If-So Dynamic Content dla WordPressa jest podatna na przechowywany XSS poprzez atrybut 'conversion' shortcode'u w wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.
Ocena ryzyka
Atakujący z rolą Contributor może wykonać dowolny JavaScript w przeglądarce użytkowników, co może prowadzić do przejęcia sesji lub modyfikacji treści.
Rekomendacja
Zaktualizuj wtyczkę If-So Dynamic Content do wersji nowszej niż 1.10.2 i ogranicz uprawnienia Contributorów do czasu wdrożenia poprawki.
Inne podatności w If-So Dynamic Content WordPress plugin
Zobacz wszystkie- CVE-2026-87970Średnie
Wtyczka WordPress If-So Dynamic Content przed wersją 1.10.2 nie escapuje wartości dostarczonej w żądaniu przed odzwierciedleniem jej w nieuwierzytelnionej odpowiedzi AJAX zwracanej jako HTML. Umożliwia to atakującym wykonanie dowolnego kodu JavaScript w przeglądarce odwiedzającego, który otworzy spreparowany link.
- CVE-2026-118164Średnie
Wtyczka If-So Dynamic Content – Elementor & All Page Builders Personalization dla WordPressa w wersjach do 1.10.2 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'repeater[*][version_uid]' oraz wiele powiązanych pól (freeze-mode, cookie-input, ip-input, compare, utm-value, page-url-compare, group-name, custom) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The If-So Dynamic Content – Elementor & All Page Builders Personalization plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'conversion' Shortcode Attribute in all versions up to, and including, 1.10.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS