CVE-2026-105261

ŚrednieCVSS 6.8

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Schedule Post Changes With PublishPress Future przed wersją 4.10.6 nie egzekwuje bezpiecznej listy dozwolonych elementów HTML dla atrybutu shortcode i nie neutralizuje tekstu kontrolowanego przez atakującego umieszczonego w wynikowym elemencie, co pozwala użytkownikom z rolą Contributor i wyżej na przechowywanie JavaScript, który wykonuje się w sesji każdego użytkownika z wyższymi uprawnieniami, który przegląda treść.

Ocena ryzyka

Atakujący z niskimi uprawnieniami mogą przejąć sesje administratorów, co może prowadzić do pełnej kompromitacji witryny. Możliwe jest również rozprzestrzenianie złośliwego oprogramowania wśród odwiedzających.

Rekomendacja

Zaktualizuj wtyczkę PublishPress Future do wersji 4.10.6 lub nowszej, która egzekwuje bezpieczną listę elementów HTML. Dodatkowo ogranicz role użytkowników mogących używać shortcode.

Inne podatności w PublishPress Future

CVE-2025-13149Średnie
Wtyczka Schedule Post Changes With PublishPress Future dla WordPressa w wersjach do 4.9.1 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia autoryzacji w funkcji saveFutureActionData. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może zmieniać status dowolnych postów i stron poprzez endpoint REST API.

Oryginalny opis (angielski, źródło NVD)

The Schedule Post Changes With PublishPress Future: Unpublish, Delete, Change Status, Trash, Change Categories WordPress plugin before 4.10.6 does not enforce a safe HTML-element allowlist on a shortcode attribute and does not neutralise attacker-controlled text placed inside the resulting element, allowing users with the Contributor role and above to store JavaScript that executes in the session of any higher-privileged user who views the content.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS