CVE-2026-107436
WysokieCVSS 8.8Streszczenie
Wtyczka Strong Testimonials dla WordPressa (do wersji 3.3.12) jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektu (Object Injection). Atakujący może przesłać złośliwe dane, które zostaną zdeserializowane przez aplikację.
Ocena ryzyka
Może to prowadzić do zdalnego wykonania kodu, obejścia uwierzytelniania lub innych poważnych skutków, w zależności od dostępnych klas w aplikacji. W rezultacie osoba atakująca może przejąć kontrolę nad witryną.
Rekomendacja
Zaktualizuj wtyczkę Strong Testimonials do wersji nowszej niż 3.3.12. Sprawdź, czy nie ma innych podatnych wtyczek i rozważ wdrożenie reguł WAF.
Inne podatności w Strong Testimonials
Zobacz wszystkie- CVE-2026-109897Średnie
Wtyczka WordPress 'Strong Testimonials' (wersje do 3.3.12) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-110371Średnie
Wtyczka Strong Testimonials firmy WP Chill zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 3.3.12.
- CVE-2026-96650Wysokie
Wtyczka Strong Testimonials dla WordPressa jest podatna na przechowywane ataki XSS przez pole niestandardowe 'platform_user_photo' w wersjach do 3.3.11 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga, aby administrator dodał pola tekstowe 'platform' i 'platform_user_photo' do publicznego formularza zgłoszeń.
- CVE-2026-97286Średnie
Wtyczka Strong Testimonials (do wersji 3.3.11) ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.
- CVE-2026-92622Średnie
Wtyczka Strong Testimonials dla WordPress jest podatna na trwałe Cross-Site Scripting poprzez atrybut shortcode 'lightbox_class' we wszystkich wersjach do 3.3.8 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelnieni atakujący z uprawnieniami współpracownika mogą wstrzykiwać skrypty wykonujące się przy dostępie do strony.
- CVE-2026-3239Średnie
Wtyczka Strong Testimonials dla WordPress w wersjach do 3.2.21 zawiera podatność na trwałe XSS poprzez shortcode testimonial_view z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia na atrybutach dostarczonych przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2025-11268Średnie
Wtyczka Strong Testimonials dla WordPressa do wersji 3.2.16 jest podatna na arbitralne wykonanie shortcode'ów. Użytkownicy mogą przesyłać testimonial z wartością, która nie jest odpowiednio walidowana ani sanityzowana przed przekazaniem do funkcji do_shortcode. Niezautentykowani atakujący mogą wykonać arbitralne shortcode'y, jeśli administrator podgląda lub publikuje spreparowany testimonial.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in WP Chill Strong Testimonials strong-testimonials allows Object Injection.This issue affects Strong Testimonials: from n/a through 3.3.12.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS