CVE-2026-10553
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka jQuery Hover Footnotes dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do i włącznie z 1.4. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji jqFootnotes_options_subpanel.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą zaktualizować ustawienia wtyczki, co prowadzi do możliwości wstrzyknięcia złośliwego kodu JavaScript, który wpłynie na wszystkich odwiedzających stronę. To stwarza poważne zagrożenie dla bezpieczeństwa witryny i jej użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, która zawiera poprawki zabezpieczeń. Dodatkowo, warto wdrożyć mechanizmy ochrony przed CSRF oraz sanitizację wartości opcji przed ich wyświetleniem na stronie.
Oryginalny opis (angielski, źródło NVD)
The jQuery Hover Footnotes plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.4. This is due to missing or incorrect nonce validation on the jqFootnotes_options_subpanel function. This makes it possible for unauthenticated attackers to update the plugin's settings with arbitrary values that, because option values such as jqfoot_anchor_open, jqfoot_anchor_close, and jqfoot_title are echoed unescaped into frontend page content, can be chained into persistent Cross-Site Scripting affecting all site visitors via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. Successful exploitation of the CSRF vulnerability can be chained into stored Cross-Site Scripting, as the overwritten option values are persisted via update_option() without sanitization and rendered unescaped on the frontend.