CVE-2026-10551

ŚrednieCVSS 6.1

Opublikowano: 13/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Breeze Cache dla WordPressa przed wersją 2.5.6 zawiera podatność na nieuwierzytelniony, trwały atak XSS. Wynika to z przewidywalnego hasha zastępczego używanego podczas minifikacji HTML oraz nadużycia wyrażenia regularnego, co pozwala atakującemu wstrzyknąć dowolne atrybuty HTML do końcowego wyjścia.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach odwiedzających stronę, prowadząc do kradzieży sesji, przekierowań lub kradzieży danych użytkowników.

Rekomendacja

Niezwłocznie zaktualizuj wtyczkę Breeze Cache do wersji 2.5.6 lub nowszej, która usuwa tę podatność.

Inne podatności w Breeze Cache

CVE-2026-79713Średnie
Wtyczka Breeze Cache dla WordPressa w wersjach przed 2.5.15 nie uwzględnia w kluczu pamięci podręcznej zestawu parametrów zapytania związanych ze śledzeniem, mimo że nadal buforuje strony żądane z tymi parametrami. Umożliwia to nieuwierzytelnionemu atakującemu zapisanie strony wyrenderowanej w jego kontekście żądania pod kluczem czystego adresu URL, a następnie serwowanie jej wszystkim kolejnym odwiedzającym.

Oryginalny opis (angielski, źródło NVD)

The Breeze Cache WordPress plugin before 2.5.6 is vulnerable to unauthenticated Stored Cross-Site Scripting (XSS) due to a predictable replacement hash used during the HTML minification process and abusing a regular expression. This allows an attacker to inject arbitrary HTML attributes in the final HTML output by anticipating the placeholder format.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS