CVE-2026-10511

ŚrednieCVSS 6.4

Opublikowano: 27/10/2026(UTC)Zaktualizowano: 27/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Jupiter X Core dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'forget_password_link' we wszystkich wersjach do 4.61.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej poziomu contributora może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

Ocena ryzyka

Atakujący z kontem contributora może wykonać złośliwy kod JavaScript w przeglądarkach odwiedzających stronę, co może prowadzić do kradzieży sesji, przejęcia konta administratora lub modyfikacji treści witryny.

Rekomendacja

Zaktualizuj wtyczkę Jupiter X Core do wersji nowszej niż 4.61.0, a do czasu aktualizacji ogranicz liczbę kont z uprawnieniami contributora i weryfikuj ich aktywność.

Inne podatności w Jupiter X Core

CVE-2026-106013Krytyczne
Wtyczka Jupiter X Core dla WordPressa (do wersji 4.61.0) zawiera obejście uwierzytelniania w obsłudze logowania przez Twitter/X. Funkcja verify_twitter_callback nie przypisuje zwróconego tokenu do klienta TwitterOAuth, przez co kolejne wywołanie API weryfikuje poświadczenia właściciela aplikacji X zamiast logującego się użytkownika, a wtyczka uwierzytelnia konto WordPress na podstawie adresu e-mail tego właściciela.

Oryginalny opis (angielski, źródło NVD)

The Jupiter X Core plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'forget_password_link' parameter in all versions up to, and including, 4.61.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS