CVE-2026-10570
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Sympl Repeater for ACF and Elementor dla WordPressa jest podatna na przechowywane ataki XSS poprzez wartości pól powtarzalnych ACF. Podatność występuje we wszystkich wersjach do 2.3 włącznie, z powodu braku odpowiedniej sanityzacji wejścia i eskejpowania wyjścia w funkcji symp_arfe_replace_content(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym wstrzyknięcie dowolnych skryptów webowych na stronach.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych wrażliwych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Sympl Repeater for ACF and Elementor do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również przejrzeć i usunąć wszelkie podejrzane treści z pól powtarzalnych ACF.
Oryginalny opis (angielski, źródło NVD)
The Sympl Repeater for ACF and Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via ACF repeater field values in all versions up to, and including, 2.3. This is due to insufficient input sanitization and output escaping in the symp_arfe_replace_content() function, which uses str_replace() to substitute raw ACF field values (retrieved via get_field()) directly into Elementor-rendered HTML without any escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.